pypdf: Unkontrollierter Ressourcenverbrauch über alphabetische Seitenbeschriftungen

Zusammenfassung

pypdf, eine rein in Python implementierte Bibliothek zum Lesen und Verarbeiten von PDF-Dateien, begrenzt die Länge alphabetischer Seitenbeschriftungen nicht. Ein präpariertes PDF mit ungewöhnlich grossen alphabetischen Beschriftungswerten kann dazu führen, dass beim Auslesen der Seitenbeschriftungen sehr lange Zeichenketten erzeugt werden, was übermässig viel Speicher verbraucht. Ein Angreifer, der einer Anwendung, die Seitenbeschriftungen liest, ein PDF übergeben kann, kann die Anwendung dadurch verlangsamen oder unverfügbar machen; Vertraulichkeit und Integrität sind nicht betroffen.

Betroffen

• pypdf-Versionen vor 6.19.0

Behoben in

• pypdf 6.19.0 (Korrektur aus Commit 0d8b5a8; neuere Versionen sind verfügbar und sollten bevorzugt werden)

Umgehung

• Falls ein Update noch nicht möglich ist, die Änderungen aus PR #4096 in den pypdf-Quellcode übernehmen.
• Speicher und Laufzeit der Arbeitsprozesse für die PDF-Verarbeitung begrenzen und einschränken, welche Dienste nicht vertrauenswürdige PDFs annehmen (Empfehlung, nicht vom Hersteller).

Ausnutzung

• Zum Zeitpunkt der Analyse ist keine Ausnutzung bekannt. Die CISA-SSVC-Bewertung führt die Ausnutzung als 'none', die Automatisierbarkeit als 'yes' und die technische Auswirkung als 'partial'.
• In den geprüften Quellen wurde kein öffentlicher Exploit-Code gefunden; dies ist kein Beweis, dass keiner existiert.
• Nicht gegen den CISA-KEV-Katalog geprüft; vor dem Schliessen des Tickets prüfen.

Unsere Empfehlung

• Alle pypdf-Installationen inventarisieren, einschliesslich Requirements-Dateien, Container und mitgelieferter Tools; pypdf ist häufig eine transitive Abhängigkeit.
• Mindestens auf pypdf 6.19.0 aktualisieren, vorzugsweise auf die neueste verfügbare Version.
• Wo pypdf nicht vertrauenswürdige PDFs verarbeitet, Speicher- und Zeitlimits für den Arbeitsprozess setzen.
• Vorrangig Dienste mit Internetanbindung prüfen, die PDF-Uploads annehmen (z. B. Dokumentenmanagement, Scanning oder Mail-Gateways).
• Das GitHub-Advisory stuft die Lücke als Moderate ein, während der CVSS-v4.0-Wert in NVD 8.7 (High) beträgt; für interne Unterlagen den NVD-Wert verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-w23x-9jrw-r45c github.com
• Fix commit 0d8b5a8: Limit size of alphabetical page labels github.com
• Pull request #4096 github.com
• pypdf release 6.19.0 github.com
• OSV entry GHSA-w23x-9jrw-r45c osv.dev
• GitLab Advisory CVE-2026-103000 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:27.