Apache Tomcat 修补了4个缺陷：拒绝服务、特权绕过和删除风险已解决

Apache Software Foundation 披露了四个安全漏洞，这些漏洞影响了 Apache Tomcat（广泛使用的开源 Java servlet 容器）的多个版本。这些缺陷（从拒绝服务 （DoS） 情况到权限绕过和安装程序滥用）会影响 Tomcat 版本 9.0、10.1 和 11.0。

CVE-2025-48976 – 通过多部分标头重载的 DoS

Apache Commons FileUpload 之前对多部分标头大小强制实施了硬编码的 10kB 限制。包含大量分段标头的恶意请求可能会消耗过多内存，从而导致拒绝服务。

“使用大量具有大标头的部件的特制请求可能会触发过多的内存使用，从而导致 DoS，”该公告解释说。

通过 maxPartHeaderSize 连接器属性配置限制（现在默认仅为 512 字节）可以缓解此问题。

CVE-2025-48988 – 分段上传滥用启用 DoS

此漏洞还涉及分段上传，但侧重于段的总数，而不仅仅是标头大小。由于 Tomcat 以前在请求参数和部分之间共享内存限制，因此攻击者可能会用部分密集型上传淹没服务器，以耗尽内存并导致服务崩溃。

“处理分段请求可能会导致内存使用量明显增加…使用大量部分的特制请求可能会触发过多的内存使用，从而导致 DoS，“公告写道。

缓解措施现在包括一个新设置：maxPartCount，默认值为 10 个部分。

CVE-2025-49124 – Windows 安装程序旁加载风险

在 Windows 系统上，Tomcat 安装程序使用icacls.exe而不指定完整路径，如果系统路径中存在同名的恶意可执行文件，则可能允许旁加载攻击。

“适用于 Windows 的 Tomcat 安装程序使用icacls.exe，但未指定完整路径。这启用了一个侧载漏洞，“公告中写道。

虽然严重性评级为低，但安装程序可能被篡改的企业环境应采取措施。

CVE-2025-49125 – Pre/PostResources 中的安全限制绕过

当 Web 应用程序使用挂载在根目录外部的 PreResources 或 PostResources 时，Apache Tomcat 可能会允许通过备用路径进行意外访问。这些路径可能不受相同安全约束的保护，从而导致授权绕过。

“可以通过一条意想不到的路径访问这些资源……允许绕过这些安全约束，“该公告指出。

此缺陷的等级为中等，可能会影响任何依赖资源挂载进行访问控制的 Tomcat 部署。

立即修补

所有四个漏洞均已在以下修补版本中得到解决：

• Apache Tomcat 11.0.8 版本
• Apache Tomcat 10.1.42 版
• Apache Tomcat 9.0.106 版本