漏洞类型 | 使用候选路径或通道进行的认证绕过 | 发现时间 | 2025-06-16 | 漏洞等级 | 中危 |
MPS编号 | MPS-tb3k-x9oh | CVE编号 | CVE-2025-49125 | 漏洞影响广度 |
漏洞危害
OSCS 描述 |
Apache Tomcat 是一款流行的开源 Web 应用服务器,广泛用于部署和运行 Java Web 应用程序。它提供了丰富的资源管理功能,允许将外部目录或归档文件作为 Pre-Resources 或 Post-Resources 挂载到 Web 应用的特定路径下。 受影响版本中,系统通过 path.startsWith(webAppMount) 检查请求路径,但该逻辑存在缺陷:当使用 PreResources 或 PostResources 并将其挂载在 Web 应用根目录以外的位置时,攻击者可构造以挂载点为前缀的路径绕过 web.xml 中的安全约束,从而访问受保护资源。 修复版本通过在 AbstractResourceSet 中引入 isPathMounted 方法,替代原有的 startsWith 检查。该方法在匹配前缀基础上,要求请求路径长于挂载路径时紧跟斜杠(/),确保仅合法子路径可访问,防止绕过安全约束。 参考链接:https://www.oscs1024.com/hd/MPS-tb3k-x9oh |
影响范围及处置方案
OSCS 平台影响范围和处置方案
影响范围 | 处置方式 | 处置方法 |
tomcat [11.0.0-M1, 11.0.8) | 升级 | 将组件 tomcat 升级至 11.0.8 及以上版本 |
tomcat [9.0.0.M1, 9.0.106) | 升级 | 将组件 tomcat 升级至 9.0.106 及以上版本 |
tomcat [10.1.0-M1, 10.1.42) | 升级 | 将组件 tomcat 升级至 10.1.42 及以上版本 |
org.apache.tomcat.embed:tomcat-embed-core [11.0.0-M1, 11.0.8) | 升级 | 将组件 org.apache.tomcat.embed:tomcat-embed-core 升级至 11.0.8 及以上版本 |
org.apache.tomcat:tomcat-catalina [11.0.0-M1, 11.0.8) | 升级 | 将组件 org.apache.tomcat:tomcat-catalina 升级至 11.0.8 及以上版本 |
org.apache.tomcat:tomcat-catalina [10.1.0-M1, 10.1.42) | 升级 | 将组件 org.apache.tomcat:tomcat-catalina 升级至 10.1.42 及以上版本 |
org.apache.tomcat:tomcat-catalina [9.0.0.M1, 9.0.106) | 升级 | 将组件 org.apache.tomcat:tomcat-catalina 升级至 9.0.106 及以上版本 |
org.apache.tomcat.embed:tomcat-embed-core [9.0.0.M1, 9.0.106) | 升级 | 将组件 org.apache.tomcat.embed:tomcat-embed-core 升级至 9.0.106 及以上版本 |
org.apache.tomcat.embed:tomcat-embed-core [10.1.0-M1, 10.1.42) | 升级 | 将组件 org.apache.tomcat.embed:tomcat-embed-core 升级至 10.1.42 及以上版本 |
tomcat9 (-∞, 9.0.70-2ubuntu0.1) | 升级 | 将组件 tomcat9 升级至 9.0.70-2ubuntu0.1 及以上版本 |
libtomcat9-java (-∞, 9.0.70-2ubuntu0.1) | 升级 | 将组件 libtomcat9-java 升级至 9.0.70-2ubuntu0.1 及以上版本 |
参考链接:https://www.oscs1024.com/hd/MPS-tb3k-x9oh |
排查方式
方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html |
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html |
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html |
更多排查方式:https://www.murphysec.com/docs/faqs/integration/ |
本文参考链接
https://www.oscs1024.com/hd/MPS-tb3k-x9oh
https://nvd.nist.gov/vuln/detail/CVE-2025-49125
https://lists.apache.org/thread/m66cytbfrty9k7dc4cg6tl1czhsnbywk