Apache Tomcat遠程代碼執行漏洞安全風險通告
責編：gltian ｜2025-03-11 15:41:10| 漏洞概述 | |||
| 漏洞名稱 | Apache Tomcat 遠程代碼執行漏洞 | ||
| 漏洞編號 | QVD-2025-10214,CVE-2025-24813 | ||
| 公開時間 | 2024-03-10 | 影響量級 | 十萬級 |
| 奇安信評級 | 高危 | CVSS 3.1分數 | 8.1 |
| 威脅類型 | 代碼執行 | 利用可能性 | 高 |
| POC狀態 | 未公開 | 在野利用狀態 | 未發現 |
| EXP狀態 | 未公開 | 技術細節狀態 | 未公開 |
| 危害描述：未授權攻擊者能夠執行惡意代碼獲取服務器權限。 | |||
01?漏洞詳情
影響組件
Apache Tomcat是一個開源的Java Servlet容器，廣泛用于運行Java Web應用程序。它實現了Java Servlet和JavaServer Pages (JSP) 技術，提供了一個運行環境來處理HTTP請求、生成動態網頁，并支持WebSocket通信。Tomcat以其穩定性、靈活性和易用性而受到開發者的青睞，是開發和部署Java Web應用的重要工具之一。
漏洞描述
近日，奇安信CERT監測到官方修復Apache Tomcat 遠程代碼執行漏洞(CVE-2025-24813)，當應用程序啟用servlet寫入功能（默認情況下禁用）、使用 Tomcat默認會話持久機制和存儲位置、依賴庫存在反序列化利用鏈時，未授權攻擊者能夠執行惡意代碼獲取服務器權限。鑒于此漏洞影響范圍較大，建議客戶盡快做好自查及防護。
02?影響范圍
影響版本
11.0.0-M1 <= Apache Tomcat <= 11.0.2
10.1.0-M1 <= Apache Tomcat <= 10.1.34
9.0.0.M1 <= Apache Tomcat <= 9.0.98
其他受影響組件
無
03?處置建議
安全更新
目前官方已發布安全更新，建議用戶盡快升級至最新版本：
Apache Tomcat >=11.0.3
Apache Tomcat >=10.1.35
Apache Tomcat >=9.0.99
官方補丁下載地址：
https://tomcat.apache.org/security-11.html
https://tomcat.apache.org/security-10.html
https://tomcat.apache.org/security-9.html
04?參考資料
[1]https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkg