Apache Tika’da Kritik XXE Açığı: CVE-2025-66516
Apache Tika’da keşfedilen yeni bir güvenlik açığı, ciddi sonuçlar doğurabilecek bir XML dışsal varlık (XXE) enjeksiyonu saldırısına yol açabilir. CVE-2025-66516 koduyla izlenen bu zafiyet, CVSS puanlama sisteminde 10.0 olarak değerlendirilmiş, bu da onu maksimum şiddette bir tehdit haline getirmektedir.
Açığın Kapsamı ve Etkisi
Apache Tika’nın tika-core (1.13-3.2.1), tika-pdf-module (2.0.0-3.2.1) ve tika-parsers (1.13-1.28.5) modüllerinin tüm platformlardaki kullanıcılarını etkileyen bu açık, bir PDF dosyasındaki özel olarak hazırlanmış bir XFA dosyası aracılığıyla XXE enjeksiyonu yapma yeteneği sağlar.
Paylaşılan Maven Paketleri
Bu zafiyet, aşağıdaki Maven paketlerini etkilemektedir:
- org.apache.tika:tika-core >= 1.13
- org.apache.tika:tika-parser-pdf-module >= 2.0.0
- org.apache.tika:tika-parsers >= 1.13
XXE Enjeksiyonu Nedir?
XXE enjeksiyonu, bir saldırganın bir uygulamanın XML verilerini işleme sürecine müdahale etmesine olanak tanıyan bir web güvenliği açığıdır. Bu durum, uygulama sunucu dosya sistemindeki dosyalara erişim sağlanmasına ve bazı durumlarda uzaktan kod yürütme imkanı sunabilir. Bu nedenle, belirtilen zafiyetin ciddiyeti göz önünde bulundurulduğunda, güncellemelerin acilen uygulanması önerilmektedir.
Açığın Genişleme Etkisi
CVE-2025-66516, daha önce tespit edilen ve CVE-2025-54988 (CVSS puanı: 8.4) ile eşdeğer bir XXE açığıdır. Apache Tika ekibi, yeni CVE’nin kapsamını iki önemli açıdan genişlettiğini belirtmektedir:
İlk olarak, zafiyetin giriş noktası olarak bildirilen tika-parser-pdf-module, aslında tika-core’da yer alan bir güvenlik açığıdır. Kullanıcılar, tika-parser-pdf-module’u güncelleyip tika-core’u >= 3.2.2 versiyonuna yükseltmedikleri takdirde hâlâ savunmasız durumdadırlar.
İkincisi, orijinal rapor, 1.x Tika sürümlerinde PDFParser’ın “org.apache.tika:tika-parsers” modülünde yer aldığını belirtmemiştir.
Sonuç ve Öneriler
CVE-2025-66516 güvenlik açığı, Apache Tika kullanıcıları için hemen ele alınması gereken kritik bir meseledir. Kullanıcıların, potansiyel tehditleri azaltmak ve sistemlerini korumak adına derhal ilgili güncellemeleri yapmaları önerilmektedir. Güvenlik açıklarını zamanında kapatmak, uygulama güvenliğini elden bırakmamak açısından son derece önemlidir.
