【漏洞复现】Apache Tomcat 远程代码执行（CVE-2025-24813）

---

前言

该漏洞可导致非默认配置的Tomcat被攻击者进行利用，使用反序列化的内容实现RCE

---

免责声明

在网络安全领域，技术文章应谨慎使用，遵守法律法规，严禁非法网络活动。未经授权，不得利用文中信息进行入侵，造成的任何后果，由使用者自行承担，本文作者不负责。提供的工具仅限学习使用，严禁外用。

---

一、漏洞描述

CVE-2025-24813 是一个高危逻辑漏洞，漏洞产生的根本原因是Apache Tomcat 的反序列化机制未对用户输入进行严格验证，攻击者可通过构造恶意序列化对象绕过安全限制，处理 partial PUT 请求时，攻击者利用临时文件路径处理中的缺陷（将路径分隔符"/"替换为“.”），通过特定条件（如启用默认 servlet 的写入功能）实现远程代码执行并控制服务器‌。

二、影响范围

• 9.0.0.M1 <= tomcat <= 9.0.98
• 10.1.0-M1 <= tomcat <= 10.1.34
• 11.0.0-M1 <= tomcat <= 11