CVE-2021-43854
Açıklama
NLTK (Natural Language Toolkit), Doğal Dil İşleme alanındaki araştırma ve geliştirmeleri destekleyen açık kaynaklı Python modülleri, veri setleri ve eğitimlerinden oluşan bir pakettir. 3.6.5 öncesindeki sürümler, düzenli ifade hizmet reddi (ReDoS) saldırılarına karşı savunmasızdır. Zafiyet; PunktSentenceTokenizer, sent_tokenize ve word_tokenize bileşenlerinde mevcuttur. Bu sınıfın veya bu iki fonksiyonun tüm kullanıcıları ReDoS saldırısına karşı savunmasızdır. Kısacası, bu savunmasız fonksiyonlardan herhangi birine gönderilen özel olarak hazırlanmış uzun bir girdi, yürütme süresinin önemli ölçüde artmasına neden olacaktır. Programınız tahmin edilemeyen kullanıcı girdilerini tokenize etmek için bu savunmasız fonksiyonlardan herhangi birine güveniyorsa, NLTK'nın zafiyet içermeyen bir sürümüne yükseltmeniz şiddetle tavsiye edilir. Yükseltme yapamayan kullanıcılar için yürütme süresi, savunmasız fonksiyonlara verilen girdilerin maksimum uzunluğu sınırlandırılarak kısıtlanabilir. Önerimiz, böyle bir sınırın uygulanmasıdır.
Nasıl düzeltilir
- nltk nltk3.6.5 ya da sonraki bir sürüm
- nltk3.6.6, 3.6.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nltk nltk | v < 3.6.5 | 3.6.5 |
| nltkPyPI | v < 3.6.6, v < 3.6.5 | 3.6.6, 3.6.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.