Lỗ hổng XXE nghiêm trọng của Apache Tika: 3 lớp phòng vệ ngoài việc vá lỗi CVE-2025-66516

Lỗ hổng CVE-2025-66516 cho thấy các cuộc tấn công hiện đại hiếm khi chỉ dựa vào một điểm yếu duy nhất. Thay vào đó, chúng khai thác các định dạng tệp tin đáng tin cậy, các thư viện phân tích cú pháp đáng tin cậy và các quy trình tự động hóa đáng tin cậy. Khi bất kỳ giả định nào trong số này bị phá vỡ, các hệ thống phía sau sẽ gánh chịu rủi ro. Đó là lý do tại sao chỉ dựa vào việc vá lỗi hoặc phòng thủ biên giới không còn đủ nữa.

Mô hình bảo mật đa lớp (thường được gọi là phòng thủ theo chiều sâu) giả định rằng các biện pháp kiểm soát cuối cùng sẽ thất bại và thiết kế các biện pháp bảo vệ phù hợp:

• Nếu quá trình vá lỗi bị trì hoãn hoặc không hoàn tất, việc làm sạch tập tin đầu vào sẽ đảm bảo rằng nội dung nguy hiểm, chẳng hạn như biểu mẫu XFA hoặc tham chiếu thực thể bên ngoài, sẽ bị loại bỏ trước khi chúng có thể tiếp cận mã dễ bị tổn thương.
• Nếu một tập tin độc hại vượt qua các bước kiểm tra tĩnh, việc phân tích hành vi và mô phỏng vẫn có thể phát hiện các nỗ lực khai thác dựa trên hành vi thực thi thực tế chứ không phải dựa trên các chữ ký đã biết.
• Nếu mã độc hại xâm nhập vào môi trường thông qua các thư viện phụ thuộc, các quy trình chuỗi cung ứng phần mềm an toàn sẽ cung cấp khả năng giám sát và thực thi để ngăn chặn việc triển khai các thành phần dễ bị tổn thương ngay từ đầu.

Mỗi lớp này giải quyết một giai đoạn khác nhau của vòng đời tấn công: trước khi phân tích cú pháp, trong quá trình thực thi và xuyên suốt quá trình phát triển và triển khai. Cùng nhau, chúng làm giảm cả khả năng bị khai thác và phạm vi ảnh hưởng nếu lỗ hổng được phát hiện sau khi hệ thống đã được đưa vào sản xuất.

Đối với các tổ chức xử lý các tập tin không đáng tin cậy trên quy mô lớn, đặc biệt là trong các dịch vụ phụ trợ tự động, phương pháp bảo mật đa lớp này là rất cần thiết. Các lỗ hổng như CVE-2025-66516 sẽ tiếp tục xuất hiện, nhưng với bảo mật đa lớp được thiết lập, chúng trở thành những rủi ro có thể quản lý được thay vì những sự cố nghiêm trọng.

Apache Tika là một thư viện Java nhận vào nhiều loại tệp (PDF, Word, PowerPoint, v.v.) và trích xuất văn bản và siêu dữ liệu để các ứng dụng có thể lập chỉ mục, tìm kiếm hoặc phân tích tài liệu. Nó được sử dụng rộng rãi trong các hệ thống như công cụ tìm kiếm, công cụ khám phá điện tử và bất kỳ ứng dụng web nào cho phép người dùng tải lên tài liệu để xử lý tự động.

Điểm yếu dễ bị tấn công là lỗ hổng XXE (XML External Entity) được kích hoạt khi Tika phân tích các tệp PDF chứa biểu mẫu XFA (XML Forms Architecture) độc hại. XXE có nghĩa là khi Tika xử lý XML bên trong tệp PDF, nó có thể bị đánh lừa để tải các "thực thể bên ngoài" trỏ đến các tệp cục bộ hoặc URL từ xa, điều này là không được phép.

CVE-2025-66516 là một lỗ hổng bảo mật nghiêm trọng trong Apache Tika cho phép kẻ tấn công kích hoạt tấn công XXE bằng cách gửi một tệp PDF được tạo đặc biệt chứa biểu mẫu XFA độc hại. Lỗ hổng này ảnh hưởng đến nhiều mô-đun (phiên bản tika-core ≤ 3.2.1, tika-pdf-module và tika-parsers) và có mức độ nghiêm trọng CVSS 9.8. Nếu bị khai thác, kẻ tấn công có thể đọc các tệp máy chủ nhạy cảm, thực hiện tấn công giả mạo yêu cầu phía máy chủ (SSRF) hoặc thậm chí thực thi mã từ xa.

Trong trường hợp này, lỗ hổng nằm ở thư viện lõi của Tika (tika-core), chứ không chỉ riêng mô-đun phân tích cú pháp PDF, vì vậy ngay cả việc chỉ cập nhật mô-đun PDF cũng không đủ.

Bất kỳ ứng dụng nào cho phép người dùng tải lên các tệp PDF để xem trước, lập chỉ mục hoặc trích xuất văn bản, hoặc sử dụng Tika trong nền để xử lý tự động các tệp tải lên đó đều có nguy cơ bị tấn công, đặc biệt nếu nó chạy trong một dịch vụ phụ trợ có quyền truy cập vào mạng nội bộ hoặc các tệp nhạy cảm.