CVE-2026-33929
Açıklama
Apache PDFBox Examples bileşeninde kısıtlanmış bir dizine yönelik dosya yolu sınırlamasının hatalı olması ('Path Traversal') zafiyeti bulunmaktadır. Bu sorun, Apache PDFBox içindeki ExtractEmbeddedFiles örneğini etkilemektedir: 2.0.24 ile 2.0.36 arası ve 3.0.0 ile 3.0.7 arası sürümler. Kullanıcıların, mevcut olduğunda 2.0.37 veya 3.0.8 sürümüne güncellemeleri önerilir. O zamana kadar, GitHub PR 427'de sağlanan düzeltmeyi uygulamalıdırlar. ExtractEmbeddedFiles örneği, CVE-2026-23907'de belirtilen bir path traversal (CWE-22) zafiyeti içeriyordu. Ancak, 2.0.36 ve 3.0.7 sürümlerindeki değişiklik, dosya yolu ayırıcısını dikkate almadığı için kusurludur. Bu nedenle, /home/ABC üzerinde yazma haklarına sahip bir kullanıcı, kötü niyetli bir PDF nedeniyle /home/ABC ile başlayan herhangi bir yola (örneğin "/home/ABCDEF") yazma girişimiyle karşı karşıya kalabilir. Bu örneği üretim koduna kopyalayan kullanıcılar, bahsedilen değişikliği uygulamalıdır. Örnek buna göre değiştirilmiş olup proje deposunda mevcuttur.
Nasıl düzeltilir
- apache pdfbox2.0.37, 3.0.8 ya da sonraki bir sürüm
- org.apache.pdfbox:pdfbox-examples2.0.37, 3.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache pdfbox | 2.0.24 ≤ v < 2.0.37, 3.0.0 ≤ v < 3.0.8 | 2.0.37, 3.0.8 |
| org.apache.pdfbox:pdfbox-examplesMaven | 2.0.24 ≤ v < 2.0.37, 3.0.0 ≤ v < 3.0.8 | 2.0.37, 3.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.