Apache Tika XML外部实体注入漏洞 (CVE-2025-66516) 安全风险通告

01 漏洞详情

影响组件

Apache Tika 是一个由 Apache 软件基金会维护的开源内容检测与分析工具包。它能够从超过一千种不同的文件格式（如PDF、Microsoft Office文档、图像、音频、视频等）中提取元数据和结构化文本内容。Tika 提供了一个统一的 API，使开发人员能够轻松地将强大的文档解析功能集成到 Java 应用程序中，广泛应用于搜索引擎索引、数字资产管理、合规性检查和数据分析等领域。

漏洞描述

近日，奇安信CERT监测到官方修复Apache Tika XML外部实体注入漏洞(CVE-2025-66516)，该漏洞源于 Apache Tika 在处理 PDF 文件中的 XFA 内容时，未对外部实体进行充分限制，导致攻击者可以通过构造恶意的 XML 文件触发 XXE 攻击。成功利用此漏洞可导致服务器上的敏感信息（如配置文件、密码文件、源代码等）泄露、执行拒绝服务攻击，甚至在内网环境中进行端口扫描。目前该漏洞PoC已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

1.13 <= Apache Tika core (org.apache.tika:tika-core) <= 3.2.1

1.13 <= Apache Tika parsers (org.apache.tika:tika-parsers) < 2.0.0

2.0.0 <= Apache Tika PDF parser module (org.apache.tika:tika-parser-pdf-module) <= 3.2.1

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Apache Tika XML外部实体注入漏洞(CVE-2025-66516)，截图如下：

04 处置建议

安全更新

官方已发布安全补丁，请及时更新至最新版本：

Apache Tika core >= 3.2.2

Apache Tika PDF parser module >= 3.2.2

注意：升级了 tika-parser-pdf-module 但未将 tika-core 升级到 3.2.2及以上版本的用户仍然会受到此漏洞的影响。

下载地址：

https://tika.apache.org/download.html

05 参考资料

[1]https://lists.apache.org/thread/s5x3k93nhbkqzztp1olxotoyjpdlps9k

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。