pypdf: Ressourcenerschöpfung durch viele eingebettete Dateien in PDF
Zusammenfassung
pypdf, eine rein in Python implementierte Bibliothek zum Lesen und Bearbeiten von PDF-Dateien, liest bei jedem Zugriff die vollständige Anhangsliste neu ein, wenn eine Anwendung über die dictionary-basierte API auf eingebettete Dateien zugreift. Ein manipuliertes PDF mit vielen eingebetteten Dateien verursacht dadurch übermässig lange Laufzeiten, wodurch der Verarbeitungsdienst verlangsamt oder blockiert werden kann (Denial of Service). Voraussetzung ist, dass eine Anwendung die eingebetteten Dateien unbekannter PDFs liest; Auswirkungen auf Vertraulichkeit oder Integrität werden nicht angegeben.
Betroffen
- pypdf-Versionen vor 6.19.0
Behoben in
- pypdf 6.19.0 (Herstellerkorrektur, GHSA-v247-6f48-mgcj). Spätere Versionen enthalten die Korrektur ebenfalls.
Umgehung
- Falls ein Upgrade noch nicht möglich ist, die Änderungen aus PR #4081 anwenden (Entwickleraufgabe).
- Das Auslesen von Anhängen aus unbekannten PDFs einstellen und die Laufzeit von Aufträgen begrenzen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Python-Umgebungen, Container und Lock-Dateien auf pypdf prüfen, einschliesslich transitiver Abhängigkeiten.
- Auf pypdf 6.19.0 oder neuer aktualisieren, vorzugsweise auf die aktuelle Version.
- Für Dienste, die unbekannte PDFs annehmen, bis zur Korrektur Timeouts und Ressourcenlimits für Aufträge erzwingen.
- Nach dem Upgrade prüfen, dass in Container-Images keine ältere pypdf-Kopie verbleibt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-v247-6f48-mgcj github.com
- pypdf release 6.19.0 github.com
- Fix commit 6b10556 github.com
- Pull request #4081 github.com
- GitLab Advisory Database entry CVE-2026-102999 advisories.gitlab.com
- OSV entry CVE-2026-102999 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.