CVE-2025-24813

Nome do Software Vulnerável e Versões Afetadas Apache Tomcat versões 11.0.0-M1 até 11.0.2 Apache Tomcat versões 10.1.0-M1 até 10.1.34 Apache Tomcat versões 9.0.0.M1 até 9.0.98 Apache Tomcat versões 8.5.0 até 8.5.100

Description Um problema de equivalência de caminho existe no Default Servlet quando este está habilitado para gravação, permitindo que um invasor remoto não autenticado faça o upload de arquivos arbitrários ou execute código arbitrário. A falha ocorre porque o servidor aceita caminhos de entrada contendo um ponto interno sem a devida validação.

A execução remota de código (RCE) é possível se a aplicação utilizar a persistência de sessão baseada em arquivos com o local de armazenamento padrão e incluir uma biblioteca suscetível a um ataque de desserialização. Neste cenário, um invasor pode enviar uma requisição PUT contendo um payload Java serializado codificado em base64 para o armazenamento de sessão e, posteriormente, acionar sua execução via requisição GET usando um cookie JSESSIONID.

A divulgação de informações ou a injeção de conteúdo malicioso ocorre se as gravações estiverem habilitadas para o servlet padrão, o PUT parcial for suportado e uma URL de destino para uploads sensíveis for um subdiretório de uma URL de upload público.

Este problema está sendo explorado ativamente, com invasores utilizando códigos de prova de conceito para implantar backdoors e roubar informações.

Recommendations Atualize o Apache Tomcat versões 11.0.0-M1 até 11.0.2 para a versão 11.0.3. Atualize o Apache Tomcat versões 10.1.0-M1 até 10.1.34 para a versão 10.1.35. Atualize o Apache Tomcat versões 9.0.0.M1 até 9.0.98 para a versão 9.0.99. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade nas versões 8.5.0 até 8.5.100. Como mitigação temporária, defina o parâmetro readonly como true para o Default Servlet. Desative as requisições PUT parciais definindo o parâmetro allowPartialPut como false na configuração do Default Servlet. Evite armazenar arquivos sensíveis em subdiretórios de caminhos de upload públicos.