CVE-2026-82617

Beschreibung

Die beiden eingebauten Namensfindermuster, die von opennlp.tools.namefind.RegexNameFinderFactory aufgedeckt werden - DEFAULT REGEX NAME FINDER.EMAIL und DEFAULT REGEX NAME FINDER.URL - enthalten mehrdeutige verschachtelte Quantifikatoren. Eine Anwendung, die diese Finder über RegexNameFinderFactory.getDefaultRegexNameFinders(...) erhält und sie dann über RegexNameFinder.find(String[]) oder RegexNameFinder.find(String) auf nicht vertrauenswürdigen Text anwendet, kann durch eine kleine Eingabe in ein superlineares Backtracking oder in eine unbegrenzte Matcherrekursion getrieben werden. Für das EMAIL-Muster zwingt eine lange Reihe von lokalen Teilzeichen, auf die niemals ein @ folgt, den Matcher, von jedem Start-Offset auf das Ende der Eingabe zu scannen. Die Kosten steigen quadratisch mit der Eingabelänge: Ein Eingang von etwa 32 KB verbraucht mehrere Sekunden CPU in einem einzigen Find() -Aufruf und gibt keine Übereinstimmung zurück, und jede Verdoppelung des Eingangs multipliziert die Kosten ungefähr vierfach. Für das URL-Muster verschachtelt der Query-String-Subausdruck eine Aufnahmewiederholung innerhalb einer äußeren Wiederholung. Der JDK-Matcher wiederholt sich einmal pro Abfrage-Token, so dass ein Eingang von etwa 4 KB, der viele &-getrennte Token enthält, den Thread-Stack ausschöpft und java.lang verursacht. StackOverflowError zum Ausbreiten aus find(), Beenden des aufrufenden Threads. Auf einem Thread, der mit einem kleineren Stapel erstellt wurde (z. B. -Xss512k, typisch für Server-Worker-Pools), ist ungefähr 1 KB ausreichend. In beiden Fällen kann ein Angreifer, der Text für die Analyse liefern kann, eine einzelne Anforderung in Sekunden bis Minuten gepinnte CPU oder in einen abrupten Thread-Tod umwandeln, wodurch der Dienst für die Einbettungsanwendung verweigert wird. Es ist keine Authentifizierung, spezielle Konfiguration oder Modelldatei erforderlich, die über die Anwendung hinausgeht, die einen der beiden eingebauten Finder ausgewählt hat. Dieses Problem betrifft Apache OpenNLP: von 2.0.0 bis 2.5.11; von 3.0.0-M1 bis 3.0.0-M5. Benutzern wird empfohlen, auf Version 2.5.12 oder auf 3.0.0-M6 zu aktualisieren, wenn Benutzer die 3.0.0-Meilensteinlinie verfolgen, die das Problem beheben.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation opennlp.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.