CVE-2016-6809

Apache Tika: RCE przez deserializację obiektów w plikach MATLAB

CVSS 9.8v3.1pub. 2017-04-06upd. 2026-05-13

Apache Tika przed wersją 1.14 umożliwia zdalne wykonanie kodu Java poprzez deserializację złośliwych obiektów osadzonych w plikach MATLAB. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Apache Tika before 1.14 allows Java code execution for serialized objects embedded in MATLAB files. The issue exists because Tika invokes JMatIO to do native deserialization.

🤖 Analiza AI

Jak działa

Apache Tika podczas przetwarzania plików MATLAB wywołuje bibliotekę JMatIO, która wykonuje natywną deserializację zawartych w pliku obiektów. Atakujący może spreparować plik MATLAB zawierający złośliwy serializowany obiekt Java. Gdy Tika przetwarza taki plik, mechanizm deserializacji biblioteki JMatIO wykonuje zawarty w obiekcie kod bez żadnej weryfikacji jego bezpieczeństwa (CWE-502: Deserialization of Untrusted Data).

Skutki

Atakujący może uzyskać pełne zdalne wykonanie kodu (RCE) na serwerze przetwarzającym pliki, co potencjalnie prowadzi do przejęcia kontroli nad systemem, ujawnienia danych, ich modyfikacji lub niedostępności usługi.

Mitygacja

Należy zaktualizować Apache Tika do wersji 1.14 lub nowszej, w której problem został usunięty. Szczegóły zmian dostępne są w CHANGES-1.14.txt w repozytorium Apache. Użytkownicy Apache Nutch powinni zaktualizować zależność Tika zgodnie z informacjami na liście dyskusyjnej projektu.