Apache PDFBox Examples: PDFBox ExtractEmbeddedFiles 例コードにおけるパス・トラバーサル

Apache PDFBoxのExamplesにおいて、ExtractEmbeddedFilesのサンプルコードにPath Traversal（パス・トラバーサル）の脆弱性が発見されました。この脆弱性（CWE-22）により、攻撃者は意図されたディレクトリ外のファイルにアクセスできるようになり、システムの機密性および完全性が損なわれる可能性があります。影響を受けるのは、Apache PDFBoxのバージョン2.0.24から2.0.36、および3.0.0から3.0.7です。この脆弱性の深刻度はCVSS 4.3と評価されており、中程度のリスクを示しています。攻撃が成功した場合、攻撃者は設定された権限に応じて、サーバー上の機密ファイルにアクセスできる可能性があります。

Organizations using Apache PDFBox Examples in their applications, particularly those deploying it as part of a larger Java-based system, are at risk. This includes developers integrating PDF processing capabilities into their applications and those using shared hosting environments where the PDFBox Examples component might be pre-installed.

• java / server:

# Check for vulnerable versions of pdfbox-examples
find / -name "pdfbox-examples*.jar" -exec java -jar {} org.apache.pdfbox.examples.ExtractEmbeddedFiles --version | grep -q '2.0.24-2.0.36' && echo "VULNERABLE"

• generic web:

# Check for access to ExtractEmbeddedFiles endpoint
curl -I http://your-server/ExtractEmbeddedFiles

1. 2026-04-14Disclosure

   disclosure

1. 予約済み2026-03-24
2. 公開日2026-04-14
3. EPSS 更新日2026-04-21

この脆弱性に対処するため、Apache PDFBoxのバージョンを2.0.37または3.0.8にできるだけ早く更新することを強く推奨します。その間、GitHubのプルリクエスト427で修正が提供されています。この修正は、ExtractEmbeddedFilesサンプルコード内のコードを変更し、不正なファイルパスの操作を防ぐものです。脆弱なシステムを保護するために、この修正をできるだけ早く適用することが重要です。最新のセキュリティパッチの適用を確実にするために、Apache PDFBoxのセキュリティアップデートを監視することをお勧めします。