pypdf: Denial of Service über übergrosse Cross-Reference-Tabelle

Zusammenfassung

pypdf vor 6.21.2 begrenzt die deklarierte Eintragsanzahl standardmässiger Cross-Reference-Tabellen nicht ausreichend. Ein Angreifer kann ein PDF erstellen, dessen xref-Tabelle mehr Einträge deklariert, als die Datei enthalten kann. Beim Öffnen der Datei führt dies zu übermässiger Verarbeitung und langen Laufzeiten. Das Problem betrifft nur die Verfügbarkeit; es werden keine Auswirkungen auf Vertraulichkeit oder Integrität angegeben. Für die Ausnutzung muss eine Person oder eine automatisierte Verarbeitung die manipulierte Datei öffnen.

Betroffen

• pypdf-Versionen vor 6.21.2 (VulDB gibt den Bereich mit bis 6.21.1 an)

Behoben in

• 6.21.2 (veröffentlicht am 21. Okt 2026)
• Spätere Versionen 6.21.3 und 6.21.4 sind verfügbar; empfohlen wird die neueste Version. Der Inhalt dieser späteren Versionen wurde nicht gegen diese CVE geprüft.

Umgehung

• Unbekannt. Das Advisory des Herstellers empfiehlt, die Änderungen aus PR #4239 in den eigenen Code zu übernehmen. Dies eignet sich nur für Teams, die eine fixierte oder geforkte Kopie pflegen.
• Untrusted PDF-Dateien in einem separaten Worker-Prozess mit Timeout und Speicherlimit verarbeiten, damit eine einzelne schadhafte Datei die Hauptanwendung nicht blockiert (keine Herstellerempfehlung).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn per 1. Nov 2026 (OffSeq: "Not known to be exploited").
• EPSS-Wert: 0.0041.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; diese Prüfung ist nicht abschliessend.

Unsere Empfehlung

• pypdf auf die neueste Version aktualisieren, mindestens auf 6.21.2.
• Alle Python-Anwendungen identifizieren, die pypdf direkt oder als transitive Abhängigkeit verwenden, etwa mit SBOMs, pip show oder pip-audit.
• Prioritär Dienste mit Internetzugang oder Kundenzugang prüfen, die hochgeladene PDFs ohne Authentifizierung annehmen, etwa Rechnungseingang, Online-Formulare oder Dokumentenportale.
• Die Verarbeitung nicht vertrauenswürdiger PDF-Dateien mit Timeouts und Ressourcenlimits isolieren.
• Ausnutzungs- und Proof-of-Concept-Status vor dem Schliessen des Tickets erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• pypdf release 6.21.2 github.com
• GitHub Security Advisory GHSA-gmh7-3g9r-mjh5 github.com
• Fix commit a3061e3: Limit size of standard xref table github.com
• Pull request #4239: Limit size of standard xref table github.com
• OSV: GHSA-gmh7-3g9r-mjh5 osv.dev
• VulDB entry 426015 vuldb.com
• Ubuntu security notice CVE-2026-115580 ubuntu.com
• OffSeq threat radar entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 09:12.