概述
CVE-2025-64512
pdfminer.six存在通过恶意PDF输入执行任意代码漏洞
漏洞描述
Pdfminer.six是原始PDFMiner的一个社区维护分支，用于从PDF文档中提取信息。在20251107版本之前，如果提供恶意PDF文件，pdfminer.six将执行来自恶意pickle文件的任意代码。pdfminer.six中的CMapDB._load_data()函数使用pickle.loads()来反序列化pickle文件。这些pickle文件本应是pdfminer.six分发的一部分，存储在cmap/目录中，但恶意PDF可以指定替代目录和文件名，只要文件名以.pickle.gz结尾。然后，恶意的压缩pickle文件可以包含在处理PDF时自动执行的代码。版本20251107修复了此问题。
漏洞时间线
- 发布日期：2025年11月10日 晚上10:15
- 最后修改：2025年11月10日 晚上10:15
- 远程利用：否
- 来源：security-advisories@github.com
受影响产品
以下产品受到CVE-2025-64512漏洞的影响。即使cvefeed.io知道受影响产品的确切版本，下表中也未显示该信息。
尚无受影响产品记录 总受影响供应商：0 | 产品：0
CVSS评分
通用漏洞评分系统是评估软件和系统中漏洞严重程度的标准化框架。我们为每个CVE收集并显示来自不同来源的CVSS分数。
| 分数 | 版本 | 严重程度 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 8.6 | CVSS 3.1 | 高 | 1.8 | 6.0 | security-advisories@github.com | |
| 8.6 | CVSS 3.1 | 高 | 1.8 | 6 | MITRE-CVE |
解决方案
将pdfminer.six更新到版本20251107，以防止从恶意pickle文件执行任意代码。
- 将pdfminer.six更新到版本20251107
- 避免处理不受信任的PDF文件
咨询、解决方案和工具参考
以下是与CVE-2025-64512相关的深度信息、实用解决方案和有价值工具的外部链接精选列表。
CWE - 通用弱点枚举
CVE标识漏洞的具体实例，而CWE则分类可能导致漏洞的常见缺陷或弱点。CVE-2025-64512与以下CWE相关联：
CWE-502：不可信数据的反序列化
常见攻击模式枚举和分类(CAPEC)
常见攻击模式枚举和分类(CAPEC)存储攻击模式，这些模式描述了对手利用CVE-2025-64512弱点所采用的常见属性和方法。
CAPEC-586：对象注入
漏洞历史详情
漏洞历史详情可用于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | Pdfminer.six是原始PDFMiner的一个社区维护分支，用于从PDF文档中提取信息。在20251107版本之前，如果提供恶意PDF文件，pdfminer.six将执行来自恶意pickle文件的任意代码。pdfminer.six中的CMapDB._load_data()函数使用pickle.loads()来反序列化pickle文件。这些pickle文件本应是pdfminer.six分发的一部分，存储在cmap/目录中，但恶意PDF可以指定替代目录和文件名，只要文件名以.pickle.gz结尾。然后，恶意的压缩pickle文件可以包含在处理PDF时自动执行的代码。版本20251107修复了此问题。 |
|
| 添加 | CVSS V3.1 | AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H | |
| 添加 | CWE | CWE-502 | |
| 添加 | 参考 | https://github.com/pdfminer/pdfminer.six/commit/b808ee05dd7f0c8ea8ec34bdf394d40e63501086 | |
| 添加 | 参考 | https://github.com/pdfminer/pdfminer.six/releases/tag/20251107 | |
| 添加 | 参考 | https://github.com/pdfminer/pdfminer.six/security/advisories/GHSA-wf5f-4jwr-ppcp |
新CVE接收：由security-advisories@github.com于2025年11月10日接收