美国网络安全和基础设施安全局（CISA）已将Apache Tomcat路径等效漏洞（编号CVE-2025-24813）列入其已知被利用漏洞（KEV）目录。美国目录该漏洞在公开概念验证（PoC）代码发布仅30小时后即遭活跃利用。将A径

该漏洞属于Apache Tomcat路径等效缺陷，路利用漏洞在满足特定条件时可导致远程代码执行或信息泄露。效漏受影响版本包括：

漏洞利用需同时满足以下条件：

根据安全公告，洞列原始实现中部分PUT请求会基于用户提供的入已文件名和路径创建临时文件，并将路径分隔符替换为"."。知被当满足以下全部条件时，美国目录攻击者可查看敏感文件或注入恶意内容：

若同时满足以下条件，则可实现远程代码执行：

Tomcat已发布9.0.99、10.1.35和11.0版本修复该漏洞。效漏Wallarm研究人员确认漏洞正遭活跃利用，洞列攻击者仅需发送单个PUT API请求即可劫持Apache Tomcat服务器。入已

攻击过程分为两个阶段：

该攻击具有以下特征导致防御困难：

多数Web应用防火墙（WAF）无法有效识别，因为：

CISA根据第22-01号约束性操作指令（BOD 22-01）要求联邦机构最迟于2025年4月22日前修复该漏洞。安全专家建议：