Apache与Tomcat三大安全漏洞解析:CVE-2025-55752可致远程代码执行
Apache软件基金会近日发布了多项安全补丁,专门修复影响Tomcat 9、10和11三个版本的三个新披露漏洞。
这些补丁主要针对CVE-2025-55752、CVE-2025-55754和CVE-2025-61795三个漏洞。其中最严重的是CVE-2025-55752,在特定配置场景下可能导致远程代码执行。

URL重写机制的安全绕过问题
CVE-2025-55752漏洞源于Tomcat URL重写功能在处理过程中存在的递归问题。安全公告明确指出:"针对bug 60013的修复引入了新的隐患——重写后的URL在解码前会被规范化处理。这使得攻击者能够通过精心构造请求URI,绕过包括/WEB-INF/和/META-INF/在内的核心目录保护机制。"
该漏洞可能被利用来突破访问控制限制,在某些配置环境下甚至允许通过HTTP PUT请求上传恶意文件,进而引发潜在的远程代码执行风险。不过Apache方面强调,在标准配置下实际威胁有限,因为"PUT请求通常仅限受信任用户使用,同时启用PUT请求和URI重写规则的可能性较低"。
受影响版本包括:
Tomcat 11.0.0-M1至11.0.10Tomcat 10.1.0-M1至10.1.44
Tomcat 9.0.0.M11至9.0.108
建议用户尽快升级至Tomcat 11.0.11、10.1.45或9.0.109版本以修复此漏洞。
控制台ANSI转义序列注入风险
CVE-2025-55754主要影响运行在支持ANSI转义序列的Windows控制台环境中的Tomcat实例。官方解释称:"Tomcat未对日志消息中的ANSI转义序列进行适当过滤。当Tomcat运行于Windows系统的控制台环境,且该控制台支持ANSI转义序列时,攻击者可能通过特制URL注入转义序列来操控控制台显示和剪贴板内容,诱使管理员执行恶意命令。"
虽然目前尚未发现直接攻击向量,但Apache警告此类渗透手法"可能在其他操作系统上实现"。受影响范围涵盖:
Tomcat 11.0.0-M1至11.0.10Tomcat 10.1.0-M1至10.1.44
Tomcat 9.0.0.40至9.0.108
建议用户升级至Tomcat 11.0.11、10.1.45或9.0.109版本。
多文件上传服务拒绝漏洞
第三个漏洞CVE-2025-61795可能导致多文件上传期间出现拒绝服务(DoS)状况。当上传过程出现错误(如超出文件大小限制)时,系统可能不会立即清理上传文件的临时副本。Apache说明:"写入本地存储的上传文件临时副本未被及时清除,而是等待垃圾回收进程处理。根据JVM设置、应用程序内存使用状况和负载情况,临时文件占用存储空间的速度可能远超垃圾回收机制的处理能力,最终导致服务不可用。"
该漏洞影响以下版本:
Tomcat 11.0.0-M1至11.0.11Tomcat 10.1.0-M1至10.1.46
Tomcat 9.0.0.M1至9.0.109
建议用户升级至Tomcat 11.0.12、10.1.47或9.0.110版本以防范此问题。
相关攻略
网络安全的战场,正在经历一场静默但深刻的革命。AI技术的渗透,早已不是纸上谈兵,它正从根本上改写攻防双方的博弈规则。最近,上海谋乐网络科技有限公司(BUGBANK)的一场新品发布会,将这种“AI对AI”的对抗模式,从概念推向了实战前沿。 一个不容忽视的趋势是,网络安全的竞争核心,正从过去的人力与经验
近日,Linux生态系统中一项基础且至关重要的服务——打印服务CUPS被披露存在高危安全漏洞。根据网络安全媒体cyberkendra的报道,攻击者无需任何身份凭证,即可通过远程方式执行恶意代码,并最终获取系统的最高root权限。 这组漏洞由安全研究员Asim Manizada在人工智能工具的辅助下发
最近安全圈有个挺值得关注的消息:360自主研发的漏洞挖掘智能体,成功揪出了两个潜伏多年的“大家伙”——一个是Windows内核提权漏洞,另一个是Office远程代码执行漏洞。这两个漏洞可不是小打小闹,影响范围覆盖全球超过10亿的Windows和Office用户,从个人电脑到政企办公系统,甚至关键基础
就在“Copy Fail”漏洞的余波尚未平息之际,Linux内核安全领域再次遭遇重击。一个被命名为“Dirty Frag”的本地权限提升漏洞被公开披露,其威胁等级被安全专家评估为“核弹级”。与需要复杂前置条件的漏洞不同,任何本地用户理论上都可以通过运行一个利用程序,在短时间内获得系统的最高管理员权限
Linux 安全警报:一个稳定、隐蔽且极易利用的本地提权漏洞 最近,Linux安全领域曝出一个必须拉响最高级别警报的漏洞。它的代号是“Copy Fail”,编号CVE-2026-31431。这可不是那种需要复杂前置条件、利用起来看运气的“理论型”漏洞,而是一个能在本地稳定触发、一击即中的权限提升漏洞
热门专题
热门推荐
在内容创作领域,效率与质量是每一位创作者必须平衡的核心课题。选择一个功能强大的专业平台,能够有效提升产出能力与作品水准。本文将为您深度解析“刺鸟创客”——一个专为写作者设计的AI辅助创作平台,看看它如何成为您创作路上的得力助手。 核心定位与独特优势 刺鸟创客是一个集专业内容生产、高效创作流程与稳定服
在人工智能技术快速发展的当下,如何让开发者高效、便捷地将AI能力集成到自己的产品中,已成为一个关键课题。市场上有多种平台提供此类服务,其中OLAMI欧拉蜜人工智能开放平台,是一个值得开发者重点关注的解决方案。 概括而言,OLAMI欧拉蜜是一个综合性的AI开放平台。它集成了云端API接口、便捷的管理后
文心快码是什么? 在软件开发领域,提升编码效率是开发者永恒的追求。百度推出的文心快码(Baidu Comate),正是这样一款基于百度文心大模型打造的智能编程助手。它深度融合了百度在人工智能与编程领域的海量数据与深厚技术积累,旨在为开发者提供实时的AI辅助。自2023年6月发布以来,文心快码快速迭代
在内容创作领域,效率与质量往往难以兼顾。是否存在一款工具,能够像一位不知疲倦的助手,将您的灵感迅速转化为结构严谨、语言流畅的优质文章?今天我们将深入探讨的HeyFriday,正是这样一款旨在解决此痛点的智能写作助手。 HeyFriday是什么? 简而言之,HeyFriday是一个专注于帮助用户高效生
在当今数字化时代,无论是社交媒体运营、内容创作还是日常办公,一款简单易用且功能强大的在线图片编辑工具都显得尤为重要。改图鸭作为一款全面的在线图像处理平台,集成了多种实用功能,让用户无需下载复杂的专业软件,直接在浏览器中就能完成绝大多数常见的图片编辑需求,大大提升了工作效率。 核心功能:从基础编辑到智





