Apache OpenNLP sérülékenységek
Az IBM két, az Apache OpenNLP szövegfeldolgozó könyvtárból származó sérülékenységről adott ki figyelmeztetést, amelyek az IBM SPSS Modeler 19.0.0.0 verzióját érintik.
A súlyosabb, CVE-2026-82617 azonosítójú hiba 9,8-as CVSS-pontszámot kapott, és szolgáltatásmegtagadási támadást tehet lehetővé. A probléma az e-mail-címek és URL-ek felismerésére használt reguláris kifejezésekben található. Speciálisan kialakított szöveggel a támadó rendkívül erőforrás-igényes feldolgozást idézhet elő, vagy a Java-folyamat egyik szálját veremmemória-túlcsordulással leállíthatja. Az IBM leírása szerint már egy 32 KB-os bemenet több másodperces processzorterhelést okozhat, míg egy körülbelül 4 KB-os, manipulált URL elegendő lehet a feldolgozó szál összeomlásához. A kihasználáshoz nem szükséges hitelesítés, amennyiben az alkalmazás az érintett szövegfelismerő funkciót használja. A másik, CVE-2026-63317 azonosítójú sérülékenység 5,6-os CVSS-pontszámú, és nem megfelelően ellenőrzött Java-osztálybetöltéshez kapcsolódik. Manipulált modellállomány vagy formátumnév segítségével bizonyos körülmények között nem kívánt műveletek válthatók ki, de ez nem jelent automatikus távoli kódfuttatást.
Az IBM mindkét hibához javítást adott ki, és annak mielőbbi telepítését javasolja. A gyártó nem nevezett meg általánosan alkalmazható kerülőmegoldást, és a közlemény nem számol be bizonyított, aktív kihasználásról.
