NLTK 3.10.3 trở xuống mắc lỗi DoS CPU, nâng cấp lên 3.10.4

GitHub Advisories thông báo về CVE-2026-126299 trong thư viện Python NLTK. Lỗ hổng nằm trong quá trình phân tích CCG lexicon và được khắc phục ở phiên bản 3.10.4. Xem advisory GHSA-89p3-fcch-88ph.

Tổng quan và thông tin kỹ thuật

NLTK là thư viện Python xử lý ngôn ngữ tự nhiên; bộ phân tích CCG lexicon chuyển văn bản từ vựng thành cấu trúc phục vụ xử lý ngôn ngữ. Lỗi tiêu thụ tài nguyên không được kiểm soát và độ phức tạp thuật toán kém cho phép đầu vào lexicon làm tăng thời gian xử lý CPU.

Phạm vi ảnh hưởng

Cơ chế và tác động

Các hàm công khai nltk.ccg.lexicon.fromstring và tên được xuất lại nltk.ccg.chart.fromstring xử lý chuỗi lexicon do bên gọi cung cấp. Trong matchBrackets, phần đuôi bị cắt lại theo từng ký tự trong thân ngoặc rộng; trong augParseCategory, phần đuôi được sao chép theo từng toán tử trong chuỗi dài. Các thao tác này tạo độ phức tạp O(n²).

Kẻ tấn công có thể cung cấp đầu vào qua ứng dụng gọi các hàm này, khiến CPU đơn luồng bị tiêu thụ trong thời gian dài, làm cạn worker và gây mất khả dụng. Không cần xác thực hay tương tác người dùng. MAX_PARSE_DEPTH = 500 chỉ giới hạn độ sâu lồng nhau, không chặn đầu vào phẳng có chiều rộng lớn; timeout regex cũng không bao phủ các vòng lặp Python này.

Kiểm tra hệ thống

1. Kiểm tra phiên bản NLTK đang được pip quản lý:

   Sao chép lệnh

   pip show nltk

   Phiên bản 3.10.3 trở xuống thuộc phạm vi ảnh hưởng; 3.10.4 đã được vá.

Khắc phục và giảm thiểu

1. Nâng cấp gói bằng pip lên nltk 3.10.4, đặc biệt ưu tiên các ứng dụng phân tích lexicon CCG do người dùng hoặc nguồn không tin cậy kiểm soát.

2. Sau khi nâng cấp, chạy pip show nltk và xác nhận phiên bản đã cài là 3.10.4.

Bản sửa được nêu sử dụng con trỏ chỉ mục trên chuỗi gốc hoặc collections.deque để tránh cắt hoặc sao chép phần đuôi lặp lại.