Sicherheitslücke in Apache OpenNLP: Risiko durch unsichere Deserialisierung (CVE-2026-43825)

Was ist passiert?

Eine kritische Sicherheitslücke (CVE-2026-43825) wurde im Apache OpenNLP SvmDoccatModel entdeckt. Sie betrifft die Funktion zur Deserialisierung, also dem Umwandeln von Datenströmen in Java-Objekte. Angreifer könnten über manipulierte Datenströme beliebigen Code auf Systemen ausführen, die diese Funktion nutzen, falls eine sogenannte "Gadget Chain" (eine Kette von ausführbarem Code) auf dem System vorhanden ist.

Wer ist betroffen?

Betroffen sind Anwendungen, die das Apache OpenNLP SvmDoccatModel in Versionen vor 3.0.0-M4 einsetzen. Insbesondere sind dies Systeme, die das "libsvm"-Modul nutzen und zusätzlich weitere anfällige Bibliotheken (sogenannte transitive Abhängigkeiten) geladen haben. Da die Methode öffentlich zugänglich ist, kann jeder Aufrufer potenziell manipulierte Datenströme übergeben, was zu einer Ausführung von Fremdcode führen kann.

Wie kritisch ist es?

Die Schwachstelle wird mit einem hohen CVSS-Score von 7.3 bewertet, was auf ein erhebliches Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS) liegt bei 9 %. Derzeit ist die Schwachstelle nicht im CISA KEV-Katalog der aktiv ausgenutzten Schwachstellen gelistet, was bedeutet, dass keine aktive Ausnutzung bekannt ist. Dennoch besteht ein hohes Potenzial für die Ausführung von Fremdcode.

Was ist jetzt zu tun?

Anwender der 3.x-Linie sollten umgehend auf die Version 3.0.0-M4 aktualisieren, um die Schwachstelle zu schließen. Ist ein sofortiges Upgrade nicht möglich, behandeln Sie alle serialisierten SvmDoccatModel-Datenströme als potenziell unsicher, es sei denn, deren Herkunft ("Provenienz") ist zweifelsfrei verifiziert. Vermeiden Sie es, die "deserialize()"-Methode für Datenströme von Endbenutzern oder Drittquellen ohne vorherige Integritätsprüfungen aufzurufen.

Quellen: NVD (CVE-2026-43825), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.