✔В Apache Tika исправлена критическая XXE-уязвимость - «Новости»

Разработчики предупреждают о критической уязвимости в Apache Tika. Уязвимость получила идентификатор CVE-2025-66516 и 10 баллов из 10 возможных по шкале CVSS. Баг позволяет осуществлять XXE-инъекции (XML External Entity injection) через специально подготовленные XFA-файлы внутри PDF. Apache Tika представляет собой инструмент для обнаружения и извлечения метаданных из различных форматов файлов. Обнаруженная проблема затрагивает несколько ключевых модулей: tika-core версий от 1.13 до 3.2.1, tika-pdf-module версий от 2.0.0 до 3.2.1 и tika-parsers версий от 1.13 до 1.28.5 на всех платформах. XXE-атаки позволяют злоумышленникам вмешиваться в обработку XML-данных приложением. В результате это открывает возможность для несанкционированного доступа к файлам на сервере приложения, а в некоторых случаях может привести к удаленному выполнению произвольного кода. Отмечается, что свежая уязвимость CVE-2025-66516 связана с другой проблемой Tika — CVE-2025-54988 (8,4 балла по шкале CVSS), которая была исправлена разработчиками в августе 2025 года. Новая CVE расширяет область атак двумя способами. Разработчики пояснили, что точкой входа для предыдущей уязвимости был модуль tika-parser-pdf-module, однако сама проблема и исправления для нее затрагивали другой компонент под названием tika-core. Фактически это означает, что пользователи, обновившие только tika-parser-pdf-module, но не обновившие tika-core до версии 3.2.2 или выше, по-прежнему остаются уязвимыми для атак. Кроме того, разработчики признали, что в первоначальном бюллетене безопасности была допущена ошибка: не было упомянуто, что в релизах Tika версии 1.x компонент PDFParser находился в модуле org.apache.tika:tika-parsers, что еще больше расширяет спектр потенциально уязвимых систем. Разработчики выпустили исправления для всех затронутых пакетов Maven. Патчи доступны в версии 3.2.2 для tika-core и tika-parser-pdf-module, а также в версии 2.0.0 для tika-parsers. Учитывая критический уровень угрозы, специалисты настоятельно рекомендуют пользователям как можно скорее установить обновления.