JVNDB-2026-022942

Apache Software FoundationのApache OpenNLPにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Apache OpenNLP の SvmDoccatModel における信頼されていない Java デシリアライズの脆弱性影響を受けるバージョン: 3.0.0-M4 未満（libsvm ドキュメントカテゴリモジュール；OPENNLP-1808 で導入され、3.x 系列にのみ存在します）説明: SvmDoccatModel.deserialize(InputStream) は攻撃者が制御する java.io.ObjectInputStream を読み込み、ObjectInputFilter が設定されていない状態で readObject() を呼び出します。ObjectInputStream はストリーム内で参照されるすべてのクラスのオブジェクトを、SvmDoccatModel にキャストする前に具現化します。そのため、readObject() の後のキャストは、外部のオブジェクトグラフが完全にデシリアライズされた後に実行されます。もし利用者のクラスパスに Java のデシリアライズ用ガジェットチェーンが存在する場合、deserialize() に渡された細工されたペイロードによって JVM 上で任意のコードが実行される恐れがあります。Apache OpenNLP 自体は既知のガジェットチェーンを含んでいませんが、脆弱なトランジティブ依存関係と共に libsvm モジュールを組み込んだ下流のアプリケーションには現実的なリスクがあります。このメソッドは public かつ static であるため、呼び出し元は直接信頼されていないストリームを渡すことが可能です。実質的な影響としては、信頼されていないまたは半信頼の出所から読み込まれた SvmDoccatModel インスタンスに対してリモートコード実行が可能になることです。緩和策: 3.x 系列の利用者は 3.0.0-M4 へアップグレードしてください。すぐにアップグレードできない場合は、すべてのシリアライズされた SvmDoccatModel ストリームを信頼されていない入力として扱い、その出所が検証されていない限り、エンドユーザーから提供されたストリームや第三者のソースから取得したストリームに対して SvmDoccatModel.deserialize() を呼び出すことを避けてください。

Apache Software Foundation

• Apache OpenNLP 3.0.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-43825: Apache OpenNLP :: Core :: ML :: LibSVM: Unsafe Java Deserialization in SvmDoccatModel-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-43825: Apache OpenNLP :: Core :: ML :: LibSVM: Unsafe Java Deserialization in SvmDoccatModel

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-43825

1. National Vulnerability Database (NVD) : CVE-2026-43825

• [2026年07月10日]
    掲載