pypdf: Unkontrollierter Ressourcenverbrauch beim Flattening von Formularen
Zusammenfassung
pypdf, eine rein in Python geschriebene PDF-Bibliothek, kann beim Erzeugen von Appearance Streams übermässig lange Laufzeiten verursachen, wenn eine Anwendung Formularfelder aktualisiert und das Flattening aktiviert ist. Eine präparierte PDF mit Formularfeldwerten löst wiederholt unnötige Arbeit innerhalb einer Schleife im Appearance-Stream-Code aus. Ein Angreifer, der eine solche Datei verarbeiten lassen kann, kann lange Laufzeiten erzwingen und die Anwendung unverfügbar machen (Denial of Service). Voraussetzung ist eine Anwendung, die nicht vertrauenswürdige PDFs mit Flattening verarbeitet; allein die Installation von pypdf reicht nicht aus.
Betroffen
- pypdf-Versionen vor 6.19.0
Behoben in
- Auf pypdf 6.19.0 oder neuer aktualisieren (Fix in Commit 959467a9 / PR #4087)
Umgehung
- Es ist kein offizieller Workaround veröffentlicht; das Upstream-Advisory empfiehlt, die Änderungen aus PR #4087 anzuwenden, falls ein Update nicht möglich ist.
- Betriebliche Massnahme: Zeitlimiten für Formular-Verarbeitungsjobs setzen, PDF-Verarbeitung in einem separaten Worker mit Ressourcenlimiten ausführen und Formulare aus nicht vertrauenswürdigen Uploads nicht flatten.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- EPSS-Wert ist niedrig.
Unsere Empfehlung
- Prüfen, ob pypdf direkt oder als Abhängigkeit anderer Werkzeuge (Requirements- und Lock-Dateien, Container-Images) eingesetzt wird.
- Auf pypdf 6.19.0 oder neuer aktualisieren, auch bei distributionsverpackten Kopien, die hinterherhinken können.
- Bis zur Behebung Anwendungen priorisieren, die aus dem Internet erreichbar sind, PDFs annehmen und Formular-Flattening nutzen; Zeit- und Ressourcenlimiten setzen.
- Laufzeiten der Jobs und die Verfügbarkeit der Worker auf Auffälligkeiten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-php9-fj8v-98fj github.com
- pypdf 6.19.0 release github.com
- Fix commit 959467a9 github.com
- Pull request #4087 github.com
- OSV/GitHub advisory mirror (GitLab) advisories.gitlab.com
- Ubuntu security tracker ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.