CVE-2016-4434
WysokieStreszczenie
Apache Tika w wersjach przed 1.13 nieprawidłowo inicjalizuje parser XML lub wybiera handlerów, co może umożliwić zdalnym atakującym przeprowadzenie ataków typu XML External Entity (XXE) za pomocą wektorów związanych z arkuszami kalkulacyjnymi w plikach OOXML oraz metadanymi XMP w plikach PDF i innych formatach.
Ocena ryzyka
Atak XXE może prowadzić do ujawnienia wrażliwych danych lub przejęcia kontroli nad systemem, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Apache Tika do wersji 1.13 lub nowszej, aby zlikwidować tę podatność oraz zapewnić odpowiednią konfigurację parsera XML.
Inne podatności w Apache Tika
Zobacz wszystkie- CVE-2026-66756Krytyczne
Apache Tika od 4.0.0-alpha-1 do 4.0.0-beta-1 (przed wydaniem) zawiera podatność na niewłaściwą ochronę alternatywnej ścieżki. Atakujący może wykorzystać tę lukę do ominięcia zabezpieczeń.
- CVE-2016-6809Krytyczne
Apache Tika przed wersją 1.14 umożliwia wykonanie kodu Java dla zserializowanych obiektów osadzonych w plikach MATLAB. Problem występuje, ponieważ Tika wywołuje JMatIO do natywnej deserializacji.
- CVE-2026-66755Wysokie
Apache Tika od wersji 1.8 do 3.3.1 oraz 4.0.0-alpha-1 zawiera podatność na względne przejście ścieżki w parserze ISA-Tab. Atakujący może umieścić pliki w katalogu, a następnie poprzez wartość "Study Assay File Name" w pliku śledztwa odczytać dowolne pliki dostępne dla procesu Tika.
Oryginalny opis (angielski, źródło NVD)
Apache Tika before 1.13 does not properly initialize the XML parser or choose handlers, which might allow remote attackers to conduct XML External Entity (XXE) attacks via vectors involving (1) spreadsheets in OOXML files and (2) XMP metadata in PDF and other file formats, a related issue to CVE-2016-2175.