BDU:2025-15736

Опубликовано: 04 дек. 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Низкий

Описание

Уязвимость модулей tika-core, tika-pdf-module и tika-parsers среды обнаружения и анализа контента Apache Tika связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем внедрения специально сформированного XFA-шаблона

Вендор

Apache Software Foundation

Наименование ПО

Tika Core

Tika Parsers

Tika PDF

Версия ПО

от 1.13 до 3.2.1 включительно (Tika Core)

от 1.13 до 2.0.0 (Tika Parsers)

от 2.0.0 до 3.2.1 включительно (Tika PDF)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности открытия файлов, полученных из недоверенных источников;

- использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников;

- использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников;

- использование средств межсетевого экранирования для ограничения доступа к уязвимому программному обеспечению;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа из внешних сетей (Интернет).

Использование рекомендаций производителя:

https://lists.apache.org/thread/s5x3k93nhbkqzztp1olxotoyjpdlps9k

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-66516
CVE

EPSS

Процентиль: 87%

0.03507

Низкий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-66516

CVSS3: 8.4

ubuntu

2 месяца назад

Critical XXE in Apache Tika tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) and tika-parsers (1.13-1.28.5) modules on all platforms allows an attacker to carry out XML External Entity injection via a crafted XFA file inside of a PDF. This CVE covers the same vulnerability as in CVE-2025-54988. However, this CVE expands the scope of affected packages in two ways. First, while the entrypoint for the vulnerability was the tika-parser-pdf-module as reported in CVE-2025-54988, the vulnerability and its fix were in tika-core. Users who upgraded the tika-parser-pdf-module but did not upgrade tika-core to >= 3.2.2 would still be vulnerable. Second, the original report failed to mention that in the 1.x Tika releases, the PDFParser was in the "org.apache.tika:tika-parsers" module.

CVE-2025-66516

CVSS3: 8.4

nvd

2 месяца назад

CVE-2025-66516

CVSS3: 8.4

debian

2 месяца назад

Critical XXE in Apache Tika tika-core (1.13-3.2.1), tika-pdf-module (2 ...

GHSA-f58c-gq56-vjjf

github

2 месяца назад

Apache Tika has XXE vulnerability

EPSS

Процентиль: 87%

0.03507

Низкий

10 Critical

CVSS3

10 Critical

CVSS2