漏洞详情

CVE ID: CVE-2025-61795 GHSA ID: GHSA-hgrr-935x-pq79

概述

在Apache Tomcat中处理多部分文件上传时，如果发生错误（包括超出限制），写入磁盘的上传部分的临时副本不会立即被清理，而是留待垃圾收集（GC）进程删除。根据JVM设置、应用程序内存使用情况和应用负载，临时副本占用的空间可能比GC清理的速度更快，从而导致拒绝服务（DoS）。

受影响版本

此问题影响以下Apache Tomcat版本：

• 从 11.0.0-M1 到 11.0.11（含）
• 从 10.1.0-M1 到 10.1.46（含）
• 从 9.0.0.M1 到 9.0.109（含）
• 在CVE创建时已停止支持（EOL）但仍受影响的版本：8.5.0 到 8.5.100（含）。其他更旧的EOL版本也可能受影响。

已修复版本

建议用户升级到以下已修复该问题的版本：

• 版本 11.0.12 或更高
• 版本 10.1.47 或更高
• 版本 9.0.110 或更高

技术细节与弱点分类

该漏洞被归类为 CWE-404：资源关闭或释放不当。具体表现为产品未能在资源可被重用前释放或错误地释放了资源。

严重性评分

• CVSS v4.0 总体评分: 2.3（低危）
• EPSS 评分（30天内被利用概率）: 0.139% (第34百分位)

CVSS v4.0 基础指标详情

• 攻击向量（AV）: 网络（N）
• 攻击复杂度（AC）: 低（L）
• 攻击前提（AT）: 存在（P）
• 所需权限（PR）: 低（L）
• 用户交互（UI）: 无（N）
• 受影响系统影响 - 可用性（VA）: 高（H）
• 受影响系统影响 - 机密性（VC）与完整性（VI）: 无（N）
• 后续系统影响（SC/SI/SA）: 无（N）
• 可利用性（E）: 未定义（U）

完整向量字符串: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U

参考链接

• NVD漏洞详情页面
• Apache邮件列表线程
• 相关的修复提交: 1cdf5f7, af6e918, afa422b
• Tomcat官方安全公告页面: Tomcat 10, Tomcat 11, Tomcat 9
• OSS安全邮件列表存档