pypdf: Denial of Service durch manipulierte Cross-Reference-Streams mit langen Laufzeiten
Zusammenfassung
pypdf, eine rein in Python implementierte PDF-Bibliothek, ist von einer unvollständigen Korrektur eines früheren Problems (GHSA-55h5-xmcq-c37v) betroffen. Manipulierte Cross-Reference-Streams mit wiederholt fehlerhaften Einträgen können bei jedem Wiederherstellungsversuch ein vollständiges Neuladen des PDF-Streams erzwingen, auch wenn ein Wiederherstellungs-Cache vorhanden ist. Ein Angreifer kann mit einem präparierten PDF sehr lange Verarbeitungszeiten auslösen, was zu einem Denial of Service führt; Vertraulichkeit und Integrität sind nicht betroffen. Voraussetzung ist, dass eine Anwendung das nicht vertrauenswürdige PDF verarbeitet und laut CVSS-Vektor eine Benutzerinteraktion erfolgt.
Betroffen
- pypdf-Versionen vor 6.21.2 (py-pdf pypdf, betroffen < 6.21.2)
Behoben in
- pypdf 6.21.2
- Neuere Upstream-Versionen sind verfügbar; prüfen Sie die aktuelle Version, bevor Sie eine Zielversion wählen.
- Unbekannt: ob der Upstream-Projekt Backports für ältere Versionslinien bereitstellt.
Umgehung
- Auf pypdf 6.21.2 oder neuer aktualisieren.
- Falls ein Update noch nicht möglich ist, verweist das Upstream-Projekt auf die Änderungen aus PR #4240; deren Anwendung erfordert eine Entwicklerin bzw. einen Entwickler und ist keine Konfigurationseinstellung.
- Es ist keine Konfigurationsmassnahme dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Status im CISA-KEV-Katalog: Unbekannt.
Unsere Empfehlung
- Alle Anwendungen und Dienste ermitteln, die pypdf verwenden, einschliesslich eingebetteter Kopien in anderer Software.
- Auf pypdf 6.21.2 oder neuer aktualisieren und die Anwendung vor dem Rollout testen.
- Dienste, die PDFs aus nicht vertrauenswürdigen Quellen verarbeiten, einschränken oder überwachen und nach Möglichkeit Verarbeitungs-Timeouts setzen.
- Das Upstream-Advisory GHSA-jr96-gvgh-j3r4 auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Upstream commit 68a0e50 github.com
- Upstream pull request #4240 github.com
- pypdf release 6.21.2 github.com
- GitHub security advisory GHSA-jr96-gvgh-j3r4 github.com
- Ubuntu CVE-2026-115585 ubuntu.com
- OSV ROOT-APP-PYPI-CVE-2026-115585 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 09:13.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.