PT-2021-23980 · Nltk+3 · Nltk+3

Tomaarsen · Publicado 2021-12-23 · Atualizado 2025-03-24 · CVE-2021-43854

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

**Nome do software vulnerável e versões afetadas:

Versões do NLTK anteriores à 3.6.5

Descrição:

O problema está relacionado a ataques de negação de serviço por expressão regular (ReDoS), que podem causar um aumento significativo no tempo de execução quando uma entrada longa criada especificamente é fornecida a funções vulneráveis. A vulnerabilidade está presente em PunktSentenceTokenizer, sent tokenize e word tokenize. Qualquer usuário dessa classe ou dessas duas funções está vulnerável ao ataque ReDoS. Se um programa depende de qualquer uma das funções vulneráveis para tokenizar entradas imprevisíveis do usuário, é altamente recomendável atualizar para uma versão do NLTK sem a vulnerabilidade.

Recomendações:

Para versões anteriores à 3.6.5, atualize para o NLTK 3.6.6 ou posterior para resolver o problema.

Como solução alternativa temporária para usuários que não possam atualizar, limite o comprimento máximo de uma entrada para qualquer uma das funções vulneráveis a fim de restringir o tempo de execução.

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2021-43854

GHSA-F8M6-H2C7-8H9X

PYSEC-2021-859

USN-7365-1

Produtos afetados

Debian

Linuxmint

Nltk

Ubuntu

Referências · 19

• 🔥 https://github.com/nltk/nltk/pull/2869 · Exploit
• 🔥 https://github.com/nltk/nltk/security/advisories/GHSA-f8m6-h2c7-8h9x · Exploit
• 🔥 https://github.com/nltk/nltk/issues/2866 · Exploit
• https://github.com/nltk/nltk · Nota
• https://github.com/nltk/nltk/commit/1405aad979c6b8080dbbc8e0858f89b2e3690341 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/nltk/PYSEC-2021-859.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-43854 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-43854 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-43854 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-43854 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-43854 · Aviso do Fabricante
• https://t.me/cibsecurity/34573 · Publicação no Telegram
• https://ubuntu.com/security/notices/USN-7365-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-43854 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-7365-1 · Aviso do Fabricante