Docling: Beliebiges Lesen und Schreiben von Dateien bei unsicherem TikZ-Rendering mit Tectonic

Zusammenfassung

Docling, eine Python-Bibliothek zur Dokumentenverarbeitung, ist betroffen, wenn das optionale LaTeX-Backend mit tikz_engine='tectonic' konfiguriert ist. Die Tectonic-Engine kompiliert TikZ-Inhalte und Präambeln aus nicht vertrauenswürdigen LaTeX-Dateien ohne Einschränkung der TeX-Dateiprimitive. Eine präparierte Datei kann dadurch Dateien lesen, auf die der Prozess zugreifen kann, und beschreibbare Dateien erstellen oder überschreiben. Ist zusätzlich Shell-Escape aktiviert, können über TeX Befehle ausgeführt werden. Die Standardkonfiguration ist nicht betroffen.

Betroffen

• docling und docling-slim ab 2.94.0 vor 2.132.0
• Nur wenn tikz_engine='tectonic' gesetzt ist, ein tectonic-Binary verfügbar ist (im PATH oder im docling-Cache) und nicht vertrauenswürdiges LaTeX konvertiert wird
• Standardkonfiguration (tikz_engine=None) ist nicht betroffen

Behoben in

• Behoben in 2.132.0 (Commit 38b6fa0, PR #4419); das Advisory weist jedoch darauf hin, dass diese Vorprüfung umgangen werden kann
• Vollständig behoben in 2.142.1 oder neuer (GHSA-h8jf-9f4f-2v9h), die Tectonic nur ausführt, wenn tikz_engine_trusted_input=True gesetzt ist

Umgehung

• tikz_engine='tectonic' nicht für nicht vertrauenswürdige Eingaben aktivieren
• tikz_engine_allow_shell_escape=True nie für nicht vertrauenswürdige Eingaben setzen
• Konvertierungen in einer isolierten Umgebung ausführen (Container, keine Host-Mounts, Dateisystem nur lesbar, kein Netzwerk)
• Prüfen, dass kein tectonic-Binary installiert ist, falls die Option nicht benötigt wird

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', Automatisierbarkeit 'no', technische Auswirkung 'total'
• Ein öffentlicher Proof of Concept existiert (das Advisory enthält einen Testfall, der eine Datei nach /tmp schreibt)
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog bestätigt

Unsere Empfehlung

• docling und docling-slim auf 2.142.1 oder neuer aktualisieren, wie im Advisory empfohlen; 2.132.0 ist nur eine teilweise Behebung
• Bis zur Aktualisierung prüfen, dass tikz_engine='tectonic' und tikz_engine_allow_shell_escape nicht verwendet werden und kein tectonic-Binary vorhanden ist
• LaTeX-Uploads aus externen Quellen nur in einer isolierten, gesandboxten Umgebung verarbeiten
• Auf unerwartete Dateierstellungen oder -änderungen auf dem Konvertierungshost achten
• Hinweis: Die Bewertungen unterscheiden sich (CVSS 8.8 in den CVE-Daten, 7.5 mit AC:H im Advisory); bis der NVD-Eintrag geprüft ist, mit dem höheren Wert bewerten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-x3q2-h9hx-4r4j github.com
• Fix commit 38b6fa0a465d46fdacbbec333f50fa19c4f6b342 github.com
• Pull request #4419 github.com
• Docling release v2.132.0 github.com
• OSV entry GHSA-x3q2-h9hx-4r4j osv.dev
• GitLab Advisory Database entry for docling-slim advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:28.