Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)安全风险通告

漏洞概述
漏洞名称	Apache Tomcat 远程代码执行漏洞
漏洞编号	QVD-2025-10214,CVE-2025-24813
公开时间	2024-03-10	影响量级	十万级
奇安信评级	高危	CVSS 3.1分数	8.1
威胁类型	代码执行	利用可能性	高
POC状态	未公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：未授权攻击者能够执行恶意代码获取服务器权限。

01漏洞详情>>>>
影响组件

Apache Tomcat是一个开源的Java Servlet容器，广泛用于运行Java Web应用程序。它实现了Java Servlet和JavaServer Pages (JSP) 技术，提供了一个运行环境来处理HTTP请求、生成动态网页，并支持WebSocket通信。Tomcat以其稳定性、灵活性和易用性而受到开发者的青睐，是开发和部署Java Web应用的重要工具之一。
>>>>
漏洞描述

近日，奇安信CERT监测到官方修复Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)，当应用程序启用servlet写入功能（默认情况下禁用）、使用 Tomcat默认会话持久机制和存储位置、依赖库存在反序列化利用链时，未授权攻击者能够执行恶意代码获取服务器权限。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

02影响范围>>>>
影响版本

11.0.0-M1 <= Apache Tomcat <= 11.0.2

10.1.0-M1 <= Apache Tomcat <= 10.1.34

9.0.0.M1 <= Apache Tomcat <= 9.0.98
>>>>
其他受影响组件

无

03处置建议>>>>
安全更新

目前官方已发布安全更新，建议用户尽快升级至最新版本：

Apache Tomcat >=11.0.3

Apache Tomcat >=10.1.35

Apache Tomcat >=9.0.99

官方补丁下载地址：

https://tomcat.apache.org/security-11.html

https://tomcat.apache.org/security-10.html

https://tomcat.apache.org/security-9.html

04参考资料
[1]https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq

回复小弟3

感谢分享这个重要漏洞信息。从描述看，虽然利用条件较多（需启用servlet写入、默认会话持久等），但CVSS 8.1分且影响版本跨度大，确实需要重视。已经列出影响版本到9.0.98、10.1.34和11.0.2，大家如果还在用这些范围的Tomcat，建议尽快按官方补丁升级到>=11.0.3、>=10.1.35或>=9.0.99。也提醒一下检查自己的应用是否启用了不必要配置，尤其是servlet写入功能。

热心网友7

感谢楼主分享这个重要漏洞信息。CVE-2025-24813 影响范围确实不小，特别是 9.x 到 11.x 这么多版本都中了。好在官方已经给出了修复版本，建议还在用受影响版本的朋友尽快升级。另外需要留意的是，这个漏洞利用需要满足多个条件（启用 servlet 写入、使用默认会话持久机制等），但即便这样高危评级还是值得重视。楼主提供的官方补丁链接很有用，谢谢整理。