【复现】Apache Tika XXE缝隙（CVE-2025-66516）
颁布功夫 2025-12-15Apache Tika是开源内容分析工具 ， ，，Tika能从多种文件体式中抽取文本与中继数据 ， ，，常被集成进搜索引擎、、内容治理系统与各式数据处置平台 ， ，，用于处置用户上传文件或批次导入文件。
近日 ， ，，Apache Tika曝出严重XXE缝隙（CVE-2025-66516） ， ，，CVSS评分10分。攻击者可机关含恶意XFA表单的PDF ， ，，在无交互情况下远程读取服务器敏感数据或提议内部要求。
影响领域
?主题�？�?：：tika-core（1.13-3.2.1）
?PDF解析�？�?：：tika-parser-pdf-module（2.0.0-3.2.1）
?旧版�？�?：：tika-parsers（1.13-1.28.5）
缝隙道理
为相识析PDF XFA中的XML数据 ， ，，Tika会通过XMLReaderUtils类去机关一个XMLStreamReader ， ，，getXMLInputFactory中property并没有对外部实体和外部dtd进行防护 ， ，，同时setXMLResolver中的Handler处置时将外部实体设置为空字符串。
以上的谬误会导致使用JDK内部的stax xml解析器处置XML文件时会出现XXE问题。
缝隙复现
通过在PDF文件中机关恶意的XXE,我们成功获得了Windows系统中win.ini文件的内容。
修复版本
tika-core：：≥3.2.2
tika-parser-pdf-module：：≥3.2.2
tika-parsers：：≥2.0.0（1.x分支）
安全建议
? 立即升级?：：将Apache Tika主题�？椋╰ika-core）、、解析器�？椋╰ika-parsers）及PDF解析�？椋╰ika-parser-pdf-module）升级至最新版本。
? 一时措施?：：若无法立即升级 ， ，，建议限度对Tika服务的接见 ， ，，并监控异常流量 ， ，，预防处置起源不明的PDF文件。
? 持续监控?：：关注官方缝隙布告 ， ，，定期进行安全审计 ， ，，确保系统补丁实时更新。
[1]https://nvd.nist.gov/vuln/detail/CVE-2025-66516
[2]https://lists.apache.org/thread/s5x3k93nhbkqzztp1olxotoyjpdlps9k
OG东方厅积极防御尝试室（ADLab）
ADLab成立于1999年 ， ，，是中国安全行业最早成立的攻防技术钻研尝试室之一 ， ，，微软MAPP打算主题成员 ， ，，“黑雀攻击”概念首推者。截至目前 ， ，，ADLab已通过 CNVD/CNNVD/NVDB/CVE累计颁布安全缝隙6500余个 ， ，，持续维持国际网络安全领域一流水准。尝试室钻研方向涵盖基础安全钻研、、数据安全钻研、、5G安全钻研、、AI+安全钻研、、卫星安全钻研、、运营商基础设施安全钻研、、移动安全钻研、、物联网安全钻研、、车联网安全钻研、、工控安全钻研、、信创安全钻研、、云安全钻研、、无线安全钻研、、高级威胁钻研、、攻防匹敌技术钻研。钻研成就利用于产品主题技术钻研、、国度重点科技项目攻关、、专业安全服务等。
京公网安备11010802024551号