CVE-2026-82617
KrytyczneCVSS 10.0Streszczenie
Wbudowane wzorce wyszukiwania nazw EMAIL i URL w Apache OpenNLP zawierają niejednoznaczne zagnieżdżone kwantyfikatory, co umożliwia atak ReDoS. Przygotowany tekst wejściowy może wywołać superliniowe cofanie (backtracking) lub rekurencję matchera, prowadząc do wyczerpania CPU lub błędu StackOverflowError. Podatność dotyczy wersji od 2.0.0 do 2.5.11 oraz od 3.0.0-M1 do 3.0.0-M5.
Ocena ryzyka
Atakujący mogący dostarczyć tekst do analizy może zablokować wątek aplikacji na sekundy lub minuty albo doprowadzić do jego nagłego zakończenia, powodując odmowę usługi (DoS). Nie wymaga to uwierzytelnienia ani specjalnej konfiguracji — wystarczy, że aplikacja korzysta z jednego z dwóch wbudowanych finderów.
Rekomendacja
Należy zaktualizować Apache OpenNLP do wersji 2.5.12 lub 3.0.0-M6 (dla linii 3.0.0), które naprawiają tę podatność. Do czasu aktualizacji zaleca się unikanie przetwarzania niezaufanego tekstu przez wbudowane findery EMAIL i URL.
Inne podatności w Apache OpenNLP
Zobacz wszystkie- CVE-2026-43825Wysokie
W Apache OpenNLP w module libsvm dokumentacji kategorii (linia 3.x) wykryto podatność na niezaufaną deserializację Java. Metoda SvmDoccatModel.deserialize(InputStream) używa java.io.ObjectInputStream bez filtra, co pozwala atakującemu na zdalne wykonanie kodu poprzez spreparowany strumień.
- CVE-2026-42027Krytyczne
W Apache OpenNLP przed wersjami 1.9.5, 2.5.9 i 3.0.0-M3, metoda ExtensionLoader.instantiateExtension() ładuje klasę na podstawie nazwy z pliku manifest.properties archiwum modelu za pomocą Class.forName() przed sprawdzeniem, czy klasa jest zgodna z oczekiwanym interfejsem. Pozwala to atakującemu na wykonanie statycznego inicjalizatora dowolnej klasy dostępnej w classpath podczas ładowania modelu, co może prowadzić do niepożądanych efektów ubocznych.
- CVE-2026-40682Krytyczne
W bibliotece Apache OpenNLP wykryto podatność XML External Entity (XXE) w klasie DictionaryEntryPersistor. Klasa ta inicjalizuje parser SAX bez włączenia bezpiecznego przetwarzania (FEATURE_SECURE_PROCESSING) i bez wyłączenia obsługi DTD, co pozwala atakującemu na wstrzyknięcie złośliwej deklaracji DOCTYPE w pliku słownika. Skutkuje to możliwością ujawnienia lokalnych plików (file://) lub wykonania żądań po stronie serwera (SSRF) przez referencje http:// podczas parsowania XML.
- CVE-2026-63317Średnie
W Apache OpenNLP przed wersjami 2.5.10 i 3.0.0-M5 wykryto podatność umożliwiającą dowolną instancję klas. Atakujący może dostarczyć spreparowany model lub nazwę formatu, co prowadzi do załadowania i wykonania kodu z niebezpiecznych klas.
- CVE-2026-42440Wysokie
W Apache OpenNLP przed wersjami 1.9.5, 2.5.9 i 3.0.0-M3 odkryto podatność na atak DoS polegający na wyczerpaniu pamięci (OOM). Metody getOutcomes(), getOutcomePatterns() i getPredicates() w klasie AbstractModelReader alokują tablice na podstawie 32-bitowej liczby całkowitej z pliku modelu bez walidacji, co pozwala atakującemu na podanie wartości Integer.MAX_VALUE i spowodowanie natychmiastowego błędu OutOfMemoryError.
Oryginalny opis (angielski, źródło NVD)
The two built-in name-finder patterns exposed by opennlp.tools.namefind.RegexNameFinderFactory - DEFAULT_REGEX_NAME_FINDER.EMAIL and DEFAULT_REGEX_NAME_FINDER.URL - contain ambiguous nested quantifiers. An application that obtains these finders through RegexNameFinderFactory.getDefaultRegexNameFinders(...) and then applies them to untrusted text through RegexNameFinder.find(String[]) or RegexNameFinder.find(String) can be driven into super-linear backtracking or into unbounded matcher recursion by a small crafted input. For the EMAIL pattern, a long run of local-part characters that is never followed by an @ forces the matcher to re-scan to end-of-input from every starting offset. Cost grows quadratically with input length: an input of approximately 32 KB consumes several seconds of CPU in a single find() call and returns no match, and each doubling of the input multiplies the cost roughly four-fold. For the URL pattern, the query-string sub-expression nests a capturing repetition inside an outer repetition. The JDK matcher recurses once per query token, so an input of approximately 4 KB containing many &-separated tokens exhausts the thread stack and causes java.lang.StackOverflowError to propagate out of find(), terminating the calling thread. On a thread created with a smaller stack (for example -Xss512k, typical of server worker pools) approximately 1 KB is sufficient. In both cases an attacker who can supply text for analysis can convert a single request into seconds to minutes of pinned CPU, or into an abrupt thread death, denying service to the embedding application. No authentication, special configuration, or model file is required beyond the application having selected one of the two built-in finders. This issue affects Apache OpenNLP: from 2.0.0 through 2.5.11; from 3.0.0-M1 through 3.0.0-M5. Users are recommended to upgrade to version 2.5.12, or to 3.0.0-M6 for users tracking the 3.0.0 milestone line, which fix the issue.