Apache PDFBox 示例：PDFBox 提取嵌入文件示例代码中的路径遍历

在 Apache PDFBox Examples 中发现了一个路径遍历 (Path Traversal) 漏洞，具体位于 ExtractEmbeddedFiles 示例中。此漏洞 (CWE-22) 允许攻击者访问预期目录之外的文件，从而可能危及系统的机密性和完整性。受影响的 Apache PDFBox 版本包括 2.0.24 到 2.0.36，以及 3.0.0 到 3.0.7。此漏洞的严重程度评分为 CVSS 4.3，表明存在中等风险。成功利用可能允许攻击者读取服务器上的敏感文件，具体取决于配置的权限。

Organizations using Apache PDFBox Examples in their applications, particularly those deploying it as part of a larger Java-based system, are at risk. This includes developers integrating PDF processing capabilities into their applications and those using shared hosting environments where the PDFBox Examples component might be pre-installed.

• java / server:

# Check for vulnerable versions of pdfbox-examples
find / -name "pdfbox-examples*.jar" -exec java -jar {} org.apache.pdfbox.examples.ExtractEmbeddedFiles --version | grep -q '2.0.24-2.0.36' && echo "VULNERABLE"

• generic web:

# Check for access to ExtractEmbeddedFiles endpoint
curl -I http://your-server/ExtractEmbeddedFiles

1. 2026-04-14Disclosure

   disclosure

1. 已保留2026-03-24
2. 发布日期2026-04-14
3. EPSS 更新日期2026-04-21

为了减轻此漏洞，我们强烈建议尽快更新到 Apache PDFBox 的 2.0.37 或 3.0.8 版本。同时，GitHub Pull Request 427 提供了修复程序。此修复程序涉及修改 ExtractEmbeddedFiles 示例中的代码，以防止未经授权的文件路径操作。为了保护易受攻击的系统，尽快应用此修复程序至关重要。我们建议监控 Apache PDFBox 安全更新，以确保应用最新的补丁。