Apache Tika-Schwachstelle CVE-2025-66516 identifiziert
Eine Schwachstelle mit hoher Kritikalität, CVE-2025-66516, wurde in Apache Tika entdeckt. Sie ermöglicht XXE-Angriffe über manipulierte PDF-Dateien.
Picus Security hat eine kritische Sicherheitslücke in Apache Tika, einem weit verbreiteten Open-Source-Framework für die Dokumentenanalyse und Metadatenextraktion, identifiziert. Die Schwachstelle mit der Kennung CVE-2025-66516 und einer CVSS-Bewertung von 8.4 ermöglicht XML External Entity (XXE)-Angriffe durch speziell präparierte XFA-Dateien, die in PDFs eingebettet sind.
Diese Information überschreibt die zuvor gemeldete CVE-2025-54988. Untersuchungen haben ergeben, dass die Ursache der Schwachstelle in der tika-core-Bibliothek liegt und nicht ausschließlich im PDF-Modul, was den Umfang der betroffenen Komponenten erweitert. Da das Problem in der Kernlogik liegt, reicht ein alleiniges Update des PDF-Parser-Moduls nicht zur Behebung aus.
Systeme, die nicht vertrauenswürdige Dateien verarbeiten, sind erheblichen Risiken ausgesetzt, darunter die Exfiltration sensibler lokaler Dateien, Server-Side Request Forgery (SSRF) und Denial of Service (DoS). Zur Behebung dieser Bedrohung ist ein Upgrade von tika-core auf Version 3.2.2 oder höher zwingend erforderlich. Die Versionen 1.13 bis 3.2.1 bleiben anfällig für Ausnutzung.
Apache Tika wird branchenübergreifend für seine Fähigkeit, über tausend Dateiformate zu verarbeiten, eingesetzt. XXE-Angriffe nutzen fehlerhaft konfigurierte XML-Parser aus und können zur Offenlegung vertraulicher Informationen, zu DoS, SSRF und potenziell zur Ausführung von beliebigem Code führen, wenn das System nicht ausreichend gesichert ist.