CVE-2021-43854

NLTK (Natural Language Toolkit), Təbii Dil İşlənməsi sahəsində tədqiqat və işlənilib hazırlanmanı dəstəkləyən açıq mənbəli Python modulları, məlumat dəstləri və dərsliklərdən ibarət bir paketdir. 3.6.5 versiyasından əvvəlki versiyalar müntəzəm ifadələrlə bağlı xidmətdən imtina (ReDoS) hücumlarına qarşı həssasdır. Zəiflik PunktSentenceTokenizer, sent_tokenize və word_tokenize komponentlərində mövcuddur. Bu klasın və ya bu iki funksiyanın istifadəçiləri ReDoS hücumuna məruz qala bilərlər. Qısaca, bu həssas funksiyalardan hər hansı birinə xüsusi şəkildə hazırlanmış uzun giriş göndərmək onların icra vaxtının əhəmiyyətli dərəcədə artmasına səbəb olacaqdır. Əgər proqramınız proqnozlaşdırılmayan istifadəçi girişini tokenləşdirmək üçün bu həssas funksiyalardan hər hansı birindən asılıdırsa, NLTK-nın zəifliyin olmadığı versiyasına yeniləməyiniz şiddətlə tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər üçün icra vaxtını həmin həssas funksiyalara ötürülən girişin maksimum uzunluğunu məhdudlaşdıraraq tənzimləmək olar. Belə bir limitin tətbiq edilməsi tövsiyə olunur.