🇰🇷 한글 설명
NLTK 3.10.0 미만 버전의 Text.findall() 및 TokenSearcher.findall() 메서드에서 정규 표현식 서비스 거부(ReDoS) 취약점이 발견되었습니다. 검증되지 않은 사용자 입력 정규 표현식이 처리될 때 치명적인 백트래킹을 유발하여 CPU 점유율을 무한히 높이고 서비스를 중단시킬 수 있습니다.
💡 쉬운 설명
악의적인 사용자가 특수하게 조작된 검색 패턴을 입력하면 컴퓨터가 이를 처리하느라 과부하가 걸려 멈추게 되는 문제입니다. 이로 인해 프로그램이 응답하지 않거나 서버 전체가 느려질 수 있습니다.
🇺🇸 원문 (English)
NLTK versions before 3.10.0 contain a regular expression denial of service vulnerability in Text.findall() and TokenSearcher.findall() methods that accept user-supplied regular expressions without validation or timeout. Attackers can supply crafted regex patterns that cause catastrophic backtracking, resulting in indefinite CPU saturation and denial of service to all users of the Python process.
📍 영향받는 시스템
NLTK versions before 3.10.0
⚔️ 공격 벡터
사용자로부터 입력받은 검증되지 않은 정규 표현식 패턴을 통해 CPU 자원을 고갈시키는 방식
🛡️ 대응 방법
NLTK 라이브러리를 3.10.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.10.0보다 낮으면 취약한 상태입니다.
pip show nltk | grep Version