🚨 CVE-2025-66516 — Kritische Apache-Tika-Sicherheitslücke

CVSS: 10.0 | Exploit-Typ: XXE-Injection | Risikostufe: MAXIMAL

🎯 Kurzzusammenfassung

CVE-2025-66516 ist eine kritische XML-External-Entity-Sicherheitslücke (XXE) in der Kernverarbeitungs-Engine von Apache Tika. Eine einzige schädliche PDF-Datei mit XFA-Inhalt kann Folgendes auslösen:

• 🔓 Offenlegung sensibler Dateien
• 🌐 Server-Side Request Forgery (SSRF)
• 💻 Potenzielle Remote Code Execution (RCE)

Diese Sicherheitslücke betrifft Millionen von Dokumentverarbeitungs-Pipelines weltweit.

🧨 Was ist die Ursache?

🚩 Unsichere Verarbeitung externer XML-Entitäten, die in XFA-Formularen innerhalb von PDFs eingebettet sind.

Wenn Apache Tika diese Dokumente parst:

• Es löst externe Entitäten auf
• Ruft lokale oder entfernte Ressourcen ab
• Legt interne Systeme und Dateien offen

Dies ist eine klassische XXE-Sicherheitslücke im Unternehmensmaßstab.

📦 Betroffene Komponenten

✅ Sichere Version: 3.2.2+

🛑 Was können Angreifer tun?

Wenn ein Angreifer eine schädliche PDF-Datei hochlädt:

• 📄 Sensible Serverdateien lesen (/etc/passwd, Konfigurationen, API-Geheimnisse)

• 🌍 Interne Netzwerkanfragen senden (SSRF) (Cloud-Metadaten, private Dienste)

• 🧬 Zu Remote Code Execution verketten (Bei bestimmten JVM- und Dienstkonfigurationen)

• 🔥 Datenextraktion in großem Umfang

⚠️ Keine Authentifizierung. Keine Benutzerinteraktion. Über das Netzwerk ausnutzbar.

🧠 Warum diese CVE existiert (im Vergleich zu CVE-2025-54988)

🚨 Nur das PDF-Modul zu aktualisieren reicht NICHT aus.

✅ So beheben Sie das Problem sofort

✅ BESTE LÖSUNG

Upgrade ALL Apache Tika components to version 3.2.2+

⏳ Notfall-Maßnahmen (falls Sie noch nicht aktualisieren können)

• ❌ XFA-Parsing deaktivieren
• ❌ PDFs mit eingebettetem XML blockieren
• 🔐 Auflösung externer Entitäten deaktivieren
• 🧱 WAF-Regeln für XML-Nutzdaten hinzufügen
• 🔍 Eingehende Dokumente vor dem Parsen scannen

🏭 Wer ist am stärksten gefährdet?

Wenn Sie ein System betreiben, das Dokumente automatisch parst, sind Sie betroffen:

• 📁 Unternehmensweite Dokumenterfassung
• 🔎 Such- und Indexierungs-Engines
• ☁️ Cloud-Dienste zur Dateiprüfung
• 🏛️ Compliance- und E-Discovery-Plattformen
• 🌐 Web-Apps mit Datei-Uploads

📊 Schweregrad-Aufschlüsselung

💻 So verwenden Sie es (nur für White-Hat-Zwecke)

# 1. Save as CVE-2025-66516.py
# 2. Make executable
chmod +x CVE-2025-66516.py

# 3. Run against your own Tika instance or authorized target
./CVE-2025-66516.py http://your-tika-server:9998

🧷 Sicherheits-Fazit

Dies ist keine Sicherheitslücke, die man „bei Gelegenheit" patchen kann. Dies ist eine Sicherheitslücke, bei der man „alles stehen und liegen lassen und sofort beheben" muss.