Vulnerabilidade Crítica no Apache Tomcat (CVE-2025-24813)

Como funciona a exploração:

A exploração ocorre em duas etapas principais:

1. Envio de payload malicioso: O atacante envia uma requisição PUT contendo um payload Java serializado em Base64, desenhado para ativar a execução de código durante a desserialização.

2. Desserialização via JSESSIONID: Em seguida, uma requisição GET é feita com um cookie JSESSIONID manipulado, fazendo o servidor acessar e desserializar a sessão maliciosa, executando o código.

Pré-requisitos para a exploração de RCE:

• O servlet padrão precisa ter permissões de escrita habilitadas (desabilitado por padrão);

• O suporte a PUT parcial deve estar habilitado (habilitado por padrão);

• O aplicativo deve usar persistência de sessão baseada em arquivos com o diretório padrão;

• Deve haver uma biblioteca vulnerável à desserialização no projeto.

Condições para leitura ou injeção em arquivos sensíveis:

• As permissões de gravação no servlet padrão devem estar habilitadas;

• O PUT parcial deve estar ativo;

• O destino dos uploads sensíveis deve estar em um subdiretório dos uploads públicos;

• O atacante deve conhecer o nome dos arquivos sensíveis;

• Esses arquivos devem ser enviados via requisições PUT parciais.

Impacto e escopo:

Embora o impacto seja alto, a exploração depende de uma configuração específica, o que limita o número de instâncias vulneráveis. Por exemplo, uma busca no GitHub mostra apenas 218 projetos de código aberto com permissões de escrita habilitadas (<param-name>readonly</param-name><param-value>false</param-value>).

A empresa de segurança GreyNoise já identificou seis IPs maliciosos tentando explorar essa falha, mirando sistemas nos EUA, Japão, México, Coreia do Sul e Austrália.

Fonte: www.recordedfuture.com