NLTK vá lỗ hổng DoS trong ConllCorpusReader: nâng cấp lên phiên bản 3.10.4

GitHub Advisories công bố lỗ hổng CVE-2026-126297 trong thư viện Python NLTK, có thể làm ứng dụng mất khả năng phục vụ khi xử lý dữ liệu CoNLL nhất định. Bản tin khuyến nghị nâng cấp lên NLTK 3.10.4; xem GitHub Advisory GHSA-v8f3-6phw-6mh9.

Tổng quan và thông tin kỹ thuật

NLTK là thư viện Python xử lý ngôn ngữ tự nhiên. Lỗ hổng nằm trong ConllCorpusReader.srl_instances(), hàm tạo các instance gán nhãn vai trò ngữ nghĩa từ corpus CoNLL. Khi bị kích hoạt, lỗi gây tiêu thụ CPU kéo dài và ảnh hưởng tính sẵn sàng.

Phạm vi ảnh hưởng

Lỗ hổng áp dụng khi ứng dụng xử lý dữ liệu CoNLL không tin cậy qua API SRL với các cột words, pos, tree và srl, đồng thời gọi srl_instances(). Triển khai không gọi hàm này không bị ảnh hưởng.

Cơ chế và tác động

Hàm _get_srl_instances quét lồng các cột span để tìm head của từng predicate, với độ phức tạp O(P^2 * R). Đặt head span duy nhất ở cột cuối buộc hàm quét toàn bộ cột trước đó cho mỗi predicate, khiến CPU đơn luồng bị tiêu thụ kéo dài và dịch vụ có thể mất khả năng phục vụ.

Không cần xác thực hoặc tương tác người dùng để kích hoạt điều kiện ảnh hưởng. Tác động được xác nhận là DoS; hồ sơ cho biết lỗ hổng không ảnh hưởng tính bí mật hoặc toàn vẹn.

Kiểm tra hệ thống

1. Kiểm tra phiên bản NLTK được cài trong môi trường Python của ứng dụng:

   Sao chép lệnh

   python -m pip show nltk

   Phiên bản 3.10.4 đã có bản vá; phiên bản 3.10.3 trở xuống thuộc phạm vi bị ảnh hưởng.

Khắc phục và giảm thiểu

1. Nâng cấp gói pip:nltk lên phiên bản 3.10.4, đặc biệt nếu ứng dụng xử lý corpus CoNLL không tin cậy và gọi srl_instances().

Nguồn tham khảo

• GitHub Advisories: GHSA-v8f3-6phw-6mh9