⚠️ LEGGI IL DISCLAIMER PRIMA DELL'USO ⚠️

Solo uso didattico/test autorizzati | Licenza | Politica di sicurezza

---

---

Informazioni su questo POC

Questo repository contiene un exploit proof-of-concept (POC) per CVE-2025-66516, una vulnerabilità di injection XML External Entity (XXE) nelle versioni di Apache Tika precedenti alla 3.2.2. La vulnerabilità interessa il parser XFA (XML Forms Architecture) del componente tika-parser-pdf-module e consente agli attaccanti di leggere file locali ed esfiltrare dati sensibili tramite documenti PDF appositamente creati.

Cos'è la CVE-2025-66516?

La CVE-2025-66516 è una vulnerabilità di sicurezza critica nella funzionalità di parsing PDF di Apache Tika. Durante l'elaborazione di file PDF con moduli XFA incorporati, le versioni di Tika precedenti alla 3.2.2 non riescono a limitare correttamente l'elaborazione delle entità esterne nei parser XML. Ciò consente agli attaccanti di:

• Leggere file arbitrari dal filesystem del server (divulgazione di file locali)
• Esfiltrare dati sensibili verso server esterni (XXE out-of-band)
• Effettuare attacchi SSRF innescando richieste verso risorse di rete interne
• Aggirare i controlli di sicurezza nelle applicazioni che si affidano a Tika per l'elaborazione dei documenti

Dettagli della vulnerabilità

• CVE ID: CVE-2025-66516
• Componente interessato: Apache Tika tika-parser-pdf-module
• Versioni interessate: Apache Tika < 3.2.2
• Versione corretta: Apache Tika 3.2.2 e successive
• Vettore d'attacco: PDF appositamente creati con moduli XFA contenenti payload XXE
• Impatto: violazione della riservatezza, esfiltrazione di dati, server-side request forgery (SSRF)
• Gravità CVSS: Alta
• CVE correlata: CVE-2025-32370 (vulnerabilità XXE simile in Tika)

Contenuto del repository

Questo repository include:

• gen_poc.py - script Python per generare PDF malevoli per attacchi XXE di lettura di file locali
• gen_oob_poc.py - script Python per generare PDF per l'esfiltrazione out-of-band dei dati
• http_listener.py - server HTTP per dimostrare l'esfiltrazione di dati XXE OOB
• DocumentProcessor.java - applicazione Java di esempio che mostra l'integrazione vulnerabile di Tika
• Guida completa di riproduzione passo-passo con output attesi
• Analisi tecnica che confronta la versione vulnerabile con quella corretta
• Documentazione del flusso d'attacco che spiega il meccanismo di sfruttamento

Parole chiave

Apache Tika XXE, CVE-2025-66516 exploit, Tika security vulnerability, XML External Entity attack, PDF XXE injection, Tika 3.2.1 vulnerability, out-of-band XXE, OOB XXE, security research, penetration testing, POC exploit, vulnerability disclosure, XFA parser vulnerability, tika-parser-pdf-module, file disclosure vulnerability, data exfiltration, SSRF attack, secure coding, vulnerability analysis, security testing, ethical hacking, infosec, cybersecurity research, Apache Tika exploit code, XXE payload, PDF security, document parser vulnerability

---

Ambiente di test

Nota: questo POC è stato testato e verificato su:

• Versioni di Apache Tika: 3.2.1 (vulnerabile) e 3.2.2 (corretta)
• Sistema operativo: Linux - Ubuntu 24.04.3 LTS
• Versione di Java: OpenJDK 17.0.17

---

Configurazione della directory del POC

Per prima cosa, crea una directory dedicata al POC per mantenere tutti i file organizzati.

mkdir apache_tika_poc
cd apache_tika_poc

Verifica dell'ambiente

Prima di procedere con il POC, verifica che il tuo ambiente abbia le dipendenze richieste. Questi comandi mostreranno le versioni del compilatore/runtime Java e i dettagli del sistema operativo, che sono importanti per riprodurre la vulnerabilità.

# Check Java version
java -version
javac -version

# Check OS version
lsb_release -a

Output atteso: dovresti vedere le informazioni sulla versione di Java (ad es. OpenJDK 17.x.x) e i dettagli della versione di Ubuntu (24.04.3 LTS).

Download dei JAR di Apache Tika

Scarica sia la versione vulnerabile (3.2.1) sia quella corretta (3.2.2) di Apache Tika. Servono entrambe le versioni per dimostrare che la vulnerabilità XXE è presente nella 3.2.1 ed è corretta nella 3.2.2. Il JAR tika-app è un eseguibile all-in-one che include tutti i parser di Tika e le dipendenze.

# Download vulnerable Tika version
wget https://repo1.maven.org/maven2/org/apache/tika/tika-app/3.2.1/tika-app-3.2.1.jar

# Download patched Tika version  
wget https://repo1.maven.org/maven2/org/apache/tika/tika-app/3.2.2/tika-app-3.2.2.jar

Output atteso: verranno scaricati due file JAR - tika-app-3.2.1.jar (~75MB) e tika-app-3.2.2.jar (~75MB).

Verifica delle versioni dei componenti

Verifica le versioni esatte ispezionando i file manifest dei JAR. Questo conferma di avere la versione vulnerabile e quella corretta giuste prima di testare.

# Check vulnerable version manifest
unzip -p tika-app-3.2.1.jar META-INF/MANIFEST.MF

# Check patched version manifest
unzip -p tika-app-3.2.2.jar META-INF/MANIFEST.MF

Output atteso: file manifest che mostrano Implementation-Version: 3.2.1 e 3.2.2 rispettivamente, insieme a timestamp di build e altri metadati.

Elenco delle proprietà POM dei componenti

Se osserviamo i Project Object Model (le proprietà POM di Maven definiscono le dipendenze di un progetto, la configurazione di build e i metadati), notiamo che non esiste un modulo tika-parsers separato come menzionato negli advisory di sicurezza - potrebbe essere una questione legata alla versione e l'ipotesi è che nelle versioni 3.2.1 e 3.2.2, incluse nel POC, il modulo tika-parsers sia stato sostituito da moduli parser individuali.

# List all component pom.properties files for both versions
unzip -l tika-app-3.2.1.jar | grep pom.properties | grep tika
unzip -l tika-app-3.2.2.jar | grep pom.properties | grep tika

Output atteso: un elenco di tutti i moduli componenti di Tika, inclusi tika-core, tika-parser-pdf-module, tika-xmp, ecc. Noterai moduli parser individuali anziché un singolo modulo tika-parsers.

Controllo delle versioni dei componenti di Tika

Estrai e visualizza le informazioni sulla versione dei componenti principali di Tika. Questo aiuta a comprendere la struttura interna dei moduli e a confermare che sia la libreria core sia il modulo parser PDF siano alle versioni attese.

# Check tika-core, tika-parser-pdf-module, and tika-app versions for 3.2.1
unzip -p tika-app-3.2.1.jar META-INF/maven/org.apache.tika/tika-core/pom.properties && echo "---" && unzip -p tika-app-3.2.1.jar META-INF/maven/org.apache.tika/tika-parser-pdf-module/pom.properties && echo "---" && unzip -p tika-app-3.2.1.jar META-INF/maven/org.apache.tika/tika-app/pom.properties

# Check tika-core, tika-parser-pdf-module, and tika-app versions for 3.2.2
unzip -p tika-app-3.2.2.jar META-INF/maven/org.apache.tika/tika-core/pom.properties && echo "---" && unzip -p tika-app-3.2.2.jar META-INF/maven/org.apache.tika/tika-parser-pdf-module/pom.properties && echo "---" && unzip -p tika-app-3.2.2.jar META-INF/maven/org.apache.tika/tika-app/pom.properties