Linux Distros 未修补的漏洞：CVE-2026-42027
critical Nessus 插件 ID 312234
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Apache OpenNLP 扩展加载器版本中通过模型清单实现任意类实例化受影响：
Before 2.5.9， before 3.0.0-M3 描述：ExtensionLoader.instantiateExtension（Class， String）方法通过 Class.forName（） 以完全限定的名称加载一个类，并调用其 no-arg 构造器，类名来源于 model archive 的 manifest.properties 条目。现有的 isAssignableFrom 检查正确地拒绝了非预期扩展接口子类型的类（BaseToolFactory for factory=，ArtifactSerializer for serializer-class-*），但检查是在 Class.forName（） 已加载并初始化命名类之后执行的。带有默认初始化语义的 Class.forName（） 会执行目标类的静态初始化器后返回，因此能够提供精心设计的模型归档的攻击者，可以在模型加载过程中使该类路径上任意类的静态初始化器运行，无论该类是否通过后续的类型检查。利用需要类路径上存在一个对攻击者有用的静态初始化器附加效果的类（例如，JNDI查找、出站网络I/O或文件系统访问），因此这不是远程直接执行代码;
然而，随着第三方模型分发的普及（社区模型仓库、类似Hugging Face的共享），攻击面也在扩大，用户通常从他们不控制的来源加载模型文件。次要且较窄的向量影响那些发布合法 BaseToolFactory 或 ArtifactSerializer 子类且带有副作用无 arg 构造器的部署：恶意 manifest 可以命名此类类，并在模型加载时强制其构造器运行。缓解措施：* 2.x 用户应升级至 2.5.9。* 3.x 用户应升级至 3.0.0-M3。注意：该修复引入了一个包前缀允许列表，在调用 Class.forName（） 之前会被查阅，因此不允许类的静态初始化器永远不会被执行。开放NLP下的课程。默认情况下，前缀仍被允许。加载引用 opennlp.* 外工厂或串行器模型的部署必须选择这些包，要么在第一个模型加载前通过 ExtensionLoader.registerAllowedPackage（String） 程序化，要么将 OPENNLP_EXT_ALLOWED_PACKAGES 系统属性设置为逗号分隔的允许包前缀列表。无法立即升级的用户应确保所有模型文件均来自可信来源，并应审计其类路径中带有副作用静态初始化器或构造子的类，尤其是那些在类初始化过程中执行JNDI查找、网络请求或文件系统操作的类。（CVE-2026-42027）
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Critical
ID: 312234
文件名: unpatched_CVE_2026_42027.nasl
版本: 1.2
类型: Local
代理: unix
系列: Misc.
发布时间: 2026/5/5
最近更新时间: 2026/5/6
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 6.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2026-42027
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:U/RC:C
漏洞信息
CPE: cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:26.04, p-cpe:/a:debian:debian_linux:apache-opennlp, p-cpe:/a:canonical:ubuntu_linux:apache-opennlp
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2026/5/4
参考资料信息
CVE: CVE-2026-42027