pdfminer.six vor 20251107 PDF File Parser cmap/ CMapDB._load_data erweiterte Rechte

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
7.2	$0-$5k	0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in pdfminer.six ausgemacht. Sie wurde als problematisch eingestuft. Betroffen ist die Funktion CMapDB._load_data der Datei cmap/ der Komponente PDF File Parser. Mittels dem Manipulieren mit unbekannten Daten kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2025-64512. Umgesetzt werden muss der Angriff lokal. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Es wurde eine problematische Schwachstelle in pdfminer.six ausgemacht. Dabei betrifft es die Funktion CMapDB._load_data der Datei cmap/ der Komponente PDF File Parser. Durch die Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-502 vorgenommen. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

Pdfminer.six is a community maintained fork of the original PDFMiner, a tool for extracting information from PDF documents. Prior to version 20251107, pdfminer.six will execute arbitrary code from a malicious pickle file if provided with a malicious PDF file. The `CMapDB._load_data()` function in pdfminer.six uses `pickle.loads()` to deserialize pickle files. These pickle files are supposed to be part of the pdfminer.six distribution stored in the `cmap/` directory, but a malicious PDF can specify an alternative directory and filename as long as the filename ends in `.pickle.gz`. A malicious, zipped pickle file can then contain code which will automatically execute when the PDF is processed. Version 20251107 fixes the issue.

Auf github.com kann das Advisory eingesehen werden. Die Verwundbarkeit wird seit dem 05.11.2025 unter CVE-2025-64512 geführt. Das Ausnutzen gilt als leicht. Der Angriff hat dabei lokal zu erfolgen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 274731 (Linux Distros Unpatched Vulnerability : CVE-2025-64512) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Ein Upgrade auf die Version 20251107 vermag dieses Problem zu beheben. Eine neue Version kann von github.com bezogen werden. Die Schwachstelle lässt sich auch durch das Einspielen des Patches b808ee05dd7f0c8ea8ec34bdf394d40e63501086 beheben. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.

Unter anderem wird der Fehler auch in den Datenbanken von Tenable (274731) und EUVD (EUVD-2025-50815) dokumentiert. If you want to get best quality of vulnerability data, you may have to visit VulDB.

Produktinfo

Name

• pdfminer.six

Lizenz

• Open-Source

CPE 2.3info

• 🔒
• 🔒
• 🔒

CPE 2.2info

• 🔒
• 🔒
• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 7.2
VulDB Meta Temp Score: 7.2

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 7.8
NVD Vector: 🔒

CNA Base Score: 8.6
CNA Vector (GitHub_M): 🔒

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Erweiterte Rechte
CWE: CWE-502 / CWE-20
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Teilweise
Lokal: Ja
Remote: Teilweise

Verfügbarkeit: 🔒
Status: Nicht definiert

EPSS Score: 🔒
EPSS Percentile: 🔒

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Nessus ID: 274731
Nessus Name: Linux Distros Unpatched Vulnerability : CVE-2025-64512

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: pdfminer.six 20251107
Patch: b808ee05dd7f0c8ea8ec34bdf394d40e63501086

Timelineinfo

05.11.2025 CVE zugewiesen
11.11.2025 +6 Tage Advisory veröffentlicht
11.11.2025 +0 Tage VulDB Eintrag erstellt
31.12.2025 +50 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Advisory: GHSA-wf5f-4jwr-ppcp
Status: Bestätigt

CVE: CVE-2025-64512 (🔒)
GCVE (CVE): GCVE-0-2025-64512
GCVE (VulDB): GCVE-100-331818
EUVD: 🔒

Eintraginfo

Erstellt: 11.11.2025 07:56
Aktualisierung: 31.12.2025 19:14
Anpassungen: 11.11.2025 07:56 (67), 12.11.2025 00:40 (2), 16.11.2025 02:34 (1), 31.12.2025 19:14 (12)
Komplett: 🔍
Cache ID: 216::103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Diskussion

Do you know our Splunk app?

Download it now for free!