CVE-2025-64712: Path Traversal no partition_msg da biblioteca Unstructured permite escrita arbitrária de arquivos
A CVE-2025-64712 é uma vulnerabilidade de path traversal na função partition_msg da biblioteca de código aberto Unstructured, que afeta versões anteriores à 0.18.18. Segundo o registro, um arquivo MSG malicioso com anexos pode ser usado para gravar ou sobrescrever arquivos arbitrários no sistema de arquivos. A correção está disponível na versão 0.18.18, e o registro classifica a falha como crítica, com CVSS 3.1 de 9.8.
Visão geral
A CVE-2025-64712 afeta a biblioteca Unstructured, que oferece componentes de código aberto para ingestão e pré-processamento de imagens e documentos de texto, como PDFs, HTML e arquivos Word. A fraqueza é classificada como CWE-22 (Path Traversal) e está na função partition_msg, responsável por tratar arquivos MSG.
Impacto
Segundo o registro, um arquivo MSG malicioso com anexos pode levar a biblioteca a gravar ou sobrescrever arquivos arbitrários no sistema de arquivos. O registro atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve um problema acessível pela rede, sem necessidade de privilégios ou interação do usuário. Os impactos de confidencialidade, integridade e disponibilidade estão todos classificados como altos nesse vetor.
Versões e produtos afetados
- Produto listado como Unstructured Unstructured, versões anteriores à 0.18.18 (< 0.18.18).
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. Dados do EPSS não constam no registro.
Correção e mitigação
- Atualize a biblioteca unstructured para a versão 0.18.18 ou superior, que o registro identifica como a versão corrigida.
- Revise o aviso do fornecedor GHSA-gm8q-m8mv-jj5m para as orientações de mitigação.
- Consulte o commit de correção para confirmar a alteração aplicada.
- Até a atualização, limite o processamento de arquivos MSG não confiáveis e execute a ingestão de documentos com permissões de escrita restritas no sistema de arquivos, como medida defensiva.
Orientações de detecção
- Faça o inventário de sistemas e imagens de contêiner que utilizam o pacote unstructured e registre as versões instaladas.
- Marque qualquer instalação abaixo de 0.18.18 para atualização prioritária.
- Monitore pipelines de ingestão quanto à criação ou modificação inesperada de arquivos fora dos diretórios de saída esperados.
Limitações das informações disponíveis
O registro não traz nome de produto além da entrada afetada, nem uma fonte de CVSS separada publicada pelo CNA, dados de EPSS ou SSVC, nem uma entrada no KEV. Não é possível saber, a partir do registro, se outras configurações de implantação são afetadas além do intervalo de versões informado.
Perguntas frequentes
Quais versões do Unstructured são afetadas pela CVE-2025-64712?
O registro indica como afetadas as versões anteriores à 0.18.18.
A CVE-2025-64712 é conhecida por ser explorada ativamente?
O registro não a lista no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualizar o pacote unstructured para a versão 0.18.18 ou superior e revisar o aviso do fornecedor citado no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.