CVE-2016-6809
KrytyczneStreszczenie
Apache Tika przed wersją 1.14 umożliwia wykonanie kodu Java dla zserializowanych obiektów osadzonych w plikach MATLAB. Problem występuje, ponieważ Tika wywołuje JMatIO do natywnej deserializacji.
Ocena ryzyka
Wykonanie złośliwego kodu Java może prowadzić do przejęcia kontroli nad systemem, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Apache Tika do wersji 1.14 lub nowszej, aby usunąć tę podatność.
Inne podatności w Apache Tika
Zobacz wszystkie- CVE-2016-4434Wysokie
Apache Tika w wersjach przed 1.13 nieprawidłowo inicjalizuje parser XML lub wybiera handlerów, co może umożliwić zdalnym atakującym przeprowadzenie ataków typu XML External Entity (XXE) za pomocą wektorów związanych z arkuszami kalkulacyjnymi w plikach OOXML oraz metadanymi XMP w plikach PDF i innych formatach.
- CVE-2026-66756Krytyczne
Apache Tika od 4.0.0-alpha-1 do 4.0.0-beta-1 (przed wydaniem) zawiera podatność na niewłaściwą ochronę alternatywnej ścieżki. Atakujący może wykorzystać tę lukę do ominięcia zabezpieczeń.
- CVE-2026-66755Wysokie
Apache Tika od wersji 1.8 do 3.3.1 oraz 4.0.0-alpha-1 zawiera podatność na względne przejście ścieżki w parserze ISA-Tab. Atakujący może umieścić pliki w katalogu, a następnie poprzez wartość "Study Assay File Name" w pliku śledztwa odczytać dowolne pliki dostępne dla procesu Tika.
Oryginalny opis (angielski, źródło NVD)
Apache Tika before 1.14 allows Java code execution for serialized objects embedded in MATLAB files. The issue exists because Tika invokes JMatIO to do native deserialization.