Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-42440 high CVSS 7.5

Vulnérabilité dans org.apache.opennlp:opennlp-tools (CVE-2026-42440)

Résumé

Vulnérabilité dans org.apache.opennlp:opennlp-tools (CVE-2026-42440). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 3.0.0-M3 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

OOM Denial of Service via Unbounded Array Allocation in Apache OpenNLP AbstractModelReader 

Versions Affected: 

Before 2.5.9

Before 3.0.0-M3 

Description:

The AbstractModelReader methods getOutcomes(), getOutcomePatterns(), and getPredicates() each read a 32-bit signed integer count field from a binary model stream and pass that value directly to an array allocation (new String[numOutcomes], new int[numOCTypes][], new String[NUM_PREDS]) without validating that the value is non-negative or within a reasonable bound. The count is therefore fully attacker-controlled when the model file originates from an untrusted source.

A crafted .bin model file in which any of these count fields is set to Integer.MAX_VALUE (or any value large enough to exhaust the available heap) triggers an OutOfMemoryError at the array allocation itself, before the corresponding label or pattern data is consumed from the stream. The error occurs very early in deserialization: for a GIS model, getOutcomes() is reached after only the model-type string, the correction constant, and the correction parameter have been read; so the attacker pays no meaningful size cost to weaponize a payload, and a single small file can crash a JVM that loads it. Any code path that deserializes a .bin model is affected, including direct use of GenericModelReader and any higher-level component that delegates to it during model load.

The practical impact is denial of service against processes that load model files from untru…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-42440 a été découverte dans org.apache.opennlp:opennlp-tools.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour org.apache.opennlp:opennlp-tools vers 3.0.0-M3 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « org.apache.opennlp:opennlp-tools CVE-2026-42440 » sur le site de l'éditeur.

CVE-2026-42440 (org.apache.opennlp:opennlp-tools) — CWE-789 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Correctif : 3.0.0-M3 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-789) affecte org.apache.opennlp:opennlp-tools.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de org.apache.opennlp:opennlp-tools.

🔥 Gravité

Gravité : Élevée (CVSS 7.5/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 3.0.0-M3.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    Audit SBOM/dependencies for affected components.

    資産台帳・SBOM・依存マニフェストで org.apache.opennlp:opennlp-tools を使っているサービスとバージョンを洗い出す。

  2. 2
    Apply patch patch 
    Upgrade org.apache.opennlp:opennlp-tools to 3.0.0-M3

    ステージング環境で 3.0.0-M3 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

maven org.apache.opennlp:opennlp-tools
[{"type":"ECOSYSTEM","events":[{"introduced":"3.0.0-M1"},{"fixed":"3.0.0-M3"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus