CVE-2025-14009
Açıklama
nltk/nltk'nın tüm versiyonlarını etkileyen kritik bir güvenlik açığı, NLTK downloader bileşeninde bulunmaktadır. nltk/downloader.py dosyasındaki _unzip_iter fonksiyonu, yol doğrulaması veya güvenlik kontrolleri yapmadan zipfile.extractall() kullanmaktadır. Bu durum, saldırganların; NLTK tarafından indirildiğinde ve çıkartıldığında rastgele kod çalıştırabilen kötü amaçlı zip paketleri oluşturmasına olanak tanır. Güvenlik açığı, NLTK'nın indirilen tüm paketlerin güvenilir olduğunu varsaymasından ve bunları doğrulama yapmadan çıkartmasından kaynaklanmaktadır. Kötü amaçlı bir paket __init__.py gibi Python dosyaları içeriyorsa, bu dosyalar içe aktarma sırasında otomatik olarak yürütülür ve uzaktan kod çalıştırmaya yol açar. Bu sorun; dosya sistemi erişimi, ağ erişimi ve potansiyel kalıcılık mekanizmaları dahil olmak üzere sistemin tamamen ele geçirilmesiyle sonuçlanabilir.
Nasıl düzeltilir
- nltk nltk3.9.3 ya da sonraki bir sürüm
- nltk3.9.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nltk nltk | v < 3.9.3 | 3.9.3 |
| nltkPyPI | v < 3.9.3 | 3.9.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.