当前位置： 首页 > article >正文

Apache Tomcat漏洞公开发布仅30小时后即遭利用

article 2026/2/28 7:17:38

近日，Apache Tomcat曝出一项安全漏洞，在公开发布概念验证（PoC）仅30小时后，该漏洞即遭到攻击者利用。这一漏洞编号为CVE-2025-24813，主要影响以下版本：

1. Apache Tomcat 11.0.0-M1 至 11.0.2

2. Apache Tomcat 10.1.0-M1 至 10.1.34

3. Apache Tomcat 9.0.0-M1 至 9.0.98

漏洞详情与利用条件

该漏洞可能导致远程代码执行或信息泄露，具体利用条件如下：

1. 默认Servlet的写入功能已启用（默认禁用）

2. 支持部分PUT请求（默认启用）

3. 应用程序使用Tomcat基于文件的会话持久化机制，且存储位置为默认路径

4. 应用程序包含可能被反序列化攻击利用的库

漏洞详情与利用条件

上周，项目维护人员发布公告称，该漏洞已在Tomcat 9.0.99、10.1.35和11.0.3版本中修复。

但令人担忧的是，据Wallarm报告，该漏洞已经遭到利用。该公司表示：“该攻击利用了Tomcat的默认会话持久化机制及其对部分PUT请求的支持。”利用过程分为两步：首先，攻击者通过PUT请求上传一个序列化的Java会话文件；然后，攻击者通过GET请求引用恶意会话ID来触发反序列化。

换言之，攻击者发送一个包含Base64编码的序列化Java有效负载的PUT请求，该负载会被写入Tomcat的会话存储目录，随后在发送带有指向恶意会话的JSESSIONID的GET请求时被执行反序列化。

Wallarm还指出，该漏洞利用起来极其简单，且无需身份验证。唯一的先决条件是Tomcat使用基于文件的会话存储。

该公司补充道：“虽然该攻击利用了会话存储，但更大的问题是Tomcat对部分PUT请求的处理，这允许攻击者将几乎任何文件上传到任意位置。攻击者很快就会改变策略，上传恶意的JSP文件、修改配置并在会话存储之外植入后门。”

建议运行受影响Tomcat版本的用户尽快更新实例，以缓解潜在威胁。

相关文章：

Apache Tomcat漏洞公开发布仅30小时后即遭利用

近日，Apache Tomcat曝出一项安全漏洞，在公开发布概念验证（PoC）仅30小时后，该漏洞即遭到攻击者利用。这一漏洞编号为CVE-2025-24813，主要影响以下版本： 1. Apache Tomcat 11.0.0-M1 至 11.0.2 …...

编程日记 2025/12/13 15:40:35

告别低效人工统计！自动计算计划进度

实时监控任务进度一直是项目管理中的一项巨大挑战。 人工统计方式不仅耗时耗力，而且往往由于信息传递的延迟和人为误差，导致无法实时获得准确的项目进展信息。 这种不准确性可能掩盖潜在的风险点，从而影响项目的整体进度和成果。 Ganttable …...

编程日记 2026/2/20 8:58:21

AI比人脑更强，因为被植入思维模型【16】反脆弱

毛选中就有言，不经历困难，我们就不会掌握战胜困难的方法。 这个世界纷繁复杂，不是强者总是运气好，而是他们能够失败后快速复原，不断找到战胜困难的方法。 定义 马斯洛需求层次模型是一种将人类需求从低到高按层次进…...

编程日记 2026/2/20 23:41:03

L2TP实验

放开安全策略机制，FW1不配IP [FW1]firewall zone trust [FW1-zone-trust]add interface GigabitEthernet 1/0/0 [FW1]security-policy [FW1-policy-security]default action permit FW2 和FW3 [FW2]interface g1/0/1 [FW2-GigabitEthernet1/0/1]ip address 2…...

编程日记 2026/2/16 15:07:04

【数据预测】基于遗传算法GA的LSTM光伏功率预测 GA-LSTM光伏功率预测【Matlab代码#91】

文章目录 【可更换其他算法，获取资源请见文章第6节：资源获取】1. 遗传算法GA2. 长短期记忆网络LSTM3. 基于GA-LSTM的光伏功率预测4. 部分代码展示5. 运行结果展示6. 资源获取 【可更换其他算法，获取资源请见文章第6节：资源获取】 …...

编程日记 2026/2/14 19:26:37

【记录一下】LMDeploy学习笔记及遇到的问题

LMDeploy 是一个用于大型语言模型（LLMs）和视觉-语言模型（VLMs）压缩、部署和服务的 Python 库。 其核心推理引擎包括 TurboMind 引擎和 PyTorch 引擎。前者由 C 和 CUDA 开发，致力于推理性能的优化，而后者纯…...

编程日记 2026/2/15 6:58:54

Ciura序列

一 概述 Ciura序列是一种用于希尔排序（Shell Sort）的高效增量序列。 由Marcin Ciura于2002年通过实验提出。 1）经验证最优的初始序列为：[1, 4, 10, 23, 57, 132, 301, 701] 2） 后续增量可通过最后一个元素乘以2.25生成（如：701*2.25=1577，1577*2.25=3548...）。 3）时…...

编程日记 2026/1/25 0:11:31

一、MySQL8的my.ini文件

MySQL8.0.11的安装版本my.ini配置文件默认存放在：C:/Program Files/MySQL/MySQL Server 8.0/ 目录下；而MySQL8.0.11绿色免安装版本是没有my.ini配置文件，用户可以自行构建后，再通过my.ini进行数据库的相关配置 一、MySQL8.0.11默…...

编程日记 2025/9/19 4:06:34

【贝叶斯定理（Bayesian Theorem）】

贝叶斯定理（Bayesian Theorem）是概率论中一个革命性的工具，它将主观信念与客观数据结合，形成了独特的贝叶斯统计体系。以下我们将从数学原理、哲学内涵、实际应用三个维度进行深度解析。 一、贝叶斯定理的数学本质 1. 核心公式的…...

编程日记 2025/9/21 2:14:38

HC-05与HC-06蓝牙配对零基础教程 以及openmv识别及远程传输项目的概述

这个是上一年的项目，之前弄得不怎么完整，只有一个openmv的，所以openmv自己去我主页找，这篇主要讲蓝牙 这个是我在使用openmv连接单片机1然后单片机1与单片机2通过蓝牙进行通信 最终实现的效果是：openmv识别到图形和数…...

编程日记 2026/2/17 8:40:18

如何在1分钟内编写Cursorrules

如何在1分钟内编写Cursorrules：Cursor AI用户的快速指南 编写Cursor AI的.cursorrules文件并不需要花费太多时间或显得复杂。无论你是希望定制AI编码助手的开发者，还是想确保团队编码标准一致，你都可以在短短一分钟内创建一个有效的.cursorr…...

编程日记 2026/1/20 20:54:21

Linux中mutex机制

在Linux中，mutex是一种用于多线程编程的同步机制，用于保护共享资源，防止多个线程同时访问或修改这些资源，从而避免竞态条件的发生。mutex 是“mutual exclusion”的缩写，意为“互斥”。 1. Mutex 的基本概念 互斥锁&…...

编程日记 2026/1/23 23:21:14

Transformer-GRU、Transformer、CNN-GRU、GRU、CNN五模型多变量回归预测

Transformer-GRU、Transformer、CNN-GRU、GRU、CNN五模型多变量回归预测 目录 Transformer-GRU、Transformer、CNN-GRU、GRU、CNN五模型多变量回归预测预测效果基本介绍程序设计参考资料 预测效果 基本介绍 Transformer-GRU、Transformer、CNN-GRU、GRU、CNN五模型多变量回归预…...

编程日记 2026/2/19 7:53:34

AMD公司

本文来自腾讯元宝 AMD（Advanced Micro Devices, Inc.）（先进的微型计算机设备）是一家全球领先的半导体公司，成立于1969年，总部位于美国加利福尼亚州圣克拉拉。AMD 主要从事设计、开发和销售计算机处理器、图…...

编程日记 2026/2/14 3:06:31

数字证书 与 数字签名 介绍

目录 数字签名 什么时候公钥加密数据，什么时候私钥加密数据？ 消息认证码（MAC）和数字签名 区别 数字证书 如何使用数字证书验证服务器身份？ 数字签名 定义：它类似于现实生活中的手写签名。 手写签名的法律…...

编程日记 2026/2/1 19:47:47

通过webrtc+canvas+css实现简单的电脑滤镜拍照效果

这里我们用的是webrtc中的MediaDevices.getUserMedia()的浏览器api进行的效果实现，MediaDevices.getUserMedia() 会提示用户给予使用媒体输入的许可，媒体输入会产生一个MediaStream，里面包含了请求的媒体类型的轨道。此流可以包含一个视频轨道…...

编程日记 2025/12/21 7:11:04

OpenLayers集成天地图服务开发指南

以下是一份面向GIS初学者的OpenLayers开发详细教程&#xff0c;深度解析代码&#xff1a; 一、开发环境搭建 1.1 OpenLayers库引入 <!-- 使用CDN引入最新版OpenLayers --> <link rel"stylesheet" href"https://cdn.jsdelivr.net/npm/ollatest/ol.c…...

编程日记 2026/2/7 0:57:44

VBA-Excel

VBA 一、数据类型与变量 常用数据类型&#xff1a; Byte&#xff1a;字节型&#xff0c;0~255。Integer&#xff1a;整数型&#xff0c;用于存储整数值&#xff0c;范围 -32768 到 32767。Long&#xff1a;长整型&#xff0c;可存储更大范围的整数&#xff0c;范围 -214748364…...

编程日记 2026/2/14 8:15:23

OpenHarmony 开源鸿蒙北向开发——linux使用make交叉编译第三方库

这几天搞鸿蒙&#xff0c;需要编译一些第三方库到鸿蒙系统使用。 头疼死了&#xff0c;搞了一个多星期总算搞定了。 开贴记坑。 一、SDK下载 1.下载 在linux下使用命令 wget https://cidownload.openharmony.cn/version/Master_Version/OpenHarmony_5.1.0.54/20250313_02…...

编程日记 2026/2/7 0:56:50

向量库特点和使用场景

开源的专用向量数据库 Milvus 特点：开源分布式向量数据库，性能强大，支持多种索引类型（如IVF、HNSW等）、多种距离度量和灵活的查询方式，社区活跃，功能丰富，适用于处理大规模向量数据和复杂的检索任务。适用场景：适用于需要高性能、高扩展性的向量检索场景，如大型AI应用…...

编程日记 2026/2/15 17:31:18

【第14届蓝桥杯C/C++B组省赛】01串的熵

问题描述 算法思想 首先分析题目中给出的公式 S 100时&#xff0c;其信息熵为 H(S)−p(0)log2​(p(0)) − p(0)log2​(p(0)) − p(1)log2​(p(1)) 继续化简公式得 设0出现的次数为x&#xff0c;1出现的次数为3-x H(S)−x * p(0) * log2​(p(0)) − (3-x) * p(1) * log2​(p(1)…...

编程日记 2026/2/20 23:08:42

鸿蒙harmonyOS笔记：练习CheckBoxGroup获取选中的值

除了视觉效果实现全选和反选以外&#xff0c;咱们经常需要获取选中的值&#xff0c;接下来看看如何实现。 核心步骤&#xff1a; 1. 给 CheckBoxGroup 注册 onChange。 2. CheckBox 添加 name 属性。 3. 在 onChange 的回调函数中获取 选中的 name 属性。 事件&#xff1a…...

编程日记 2026/2/22 7:26:30

收数据花式画图plt实战

目录 Python plt想把纵坐标化成对数形式代码 子图ax. 我又有ax scatter&#xff0c;又有ax plot&#xff0c;都要去对数 数字接近0&#xff0c;取对数没有定义&#xff0c;怎么办 创建数据 添加一个小的常数以避免对数未定义的问题 创建一个figure和一个子图ax 在子图a…...

编程日记 2026/2/28 1:58:26

系统架构书单推荐（一）领域驱动设计与面向对象

本文主要是个人在学习过程中所涉猎的一些经典书籍&#xff0c;有些已经阅读完&#xff0c;有些还在阅读中。于我而言&#xff0c;希望追求软件系统设计相关的原则、方法、思想、本质的东西&#xff0c;并希望通过不断的学习、实践和积累&#xff0c;提升自身的知识和认知。希望…...

编程日记 2026/2/14 10:33:40

Centos6配置yum源

Centos6配置yum源 为Centos6配置CentOS Vault源—防止yum源过期为Centos6配置epel源为Centos6配置ELRepo源---已ELRepo被官方清空Centos6安装dockerdocker配置国内镜像加速 为Centos6配置CentOS Vault源—防止yum源过期 参考&#xff1a;https://mirrors.ustc.edu.cn/help/cen…...

编程日记 2026/2/27 14:00:08

CVPR 2025 | 文本和图像引导的高保真3D数字人高效生成GaussianIP

小小宣传一下CVPR 2025的工作GaussianIP。 arXiv&#xff1a;https://arxiv.org/abs/2503.11143 Github&#xff1a;https://github.com/silence-tang/GaussianIP 欢迎star, issue~ 摘要 文本引导的3D人体生成随着高效3D表示及2D升维方法&#xff08;如SDS&#xff09;的发展…...

编程日记 2026/2/14 13:37:05

MySQL密码修改的全部方式一篇详解

本文将详细介绍多种修改MySQL密码的方式。 本文目录 一、alter user 语句操作步骤 二、set password操作步骤 三、直接修改 mysql.user表操作步骤 一、alter user 语句 当你以 root 用户或者拥有足够权限的用户登录 MySQL 时&#xff0c;可以使用 ALTER USER 语句来修改密码。…...

编程日记 2026/2/19 3:18:36

Cursor从小白到专家

文章目录 1&#xff1a;简单开发一个贪吃蛇游戏规则设置提示词 cursor开发小工具开发整体步骤创建.cursorrules输入提示词composer模式chat模式 执行cursor accept all发布到线上进行分享 cursor开发一个浏览器插件创建.cursorrulescursor rules范例集工具 输入提示词执行curso…...

编程日记 2026/2/14 13:20:21

使用C++在Qt框架下调用DeepSeek的API接口实现自己的简易桌面小助手

项目背景 随着DeepSeek的爆火&#xff0c;最近的DeepSeek也进行了新一轮技术的更新&#xff0c;为了拥抱新时代&#xff0c;我们也要不断学习新的知识&#xff0c;难的底层原理我们接触不到&#xff0c;简单的调用还能难住我们&#xff1f; 因为在网络上搜集到的资源都是用Py…...

编程日记 2026/2/16 23:18:53

Kotlin 协程基础知识汇总（一）

1、协程基础 Kotlin 是一门仅在标准库中提供最基本底层 API 以便其他库能够利用协程的语言。与许多其他具有类似功能的语言不同&#xff0c;async 与 await 在 Kotlin 中并不是关键字&#xff0c;甚至都不是标准库的一部分。此外&#xff0c;Kotlin 的挂起函数概念为异步操作提…...

编程日记 2025/9/19 10:06:38