Sicherheitslücke: DoS-Attacken auf IBM SPSS Modeler möglich

Zwei Lücken in einer eingebundenen Open-Source-Bibliothek machen IBMs Data-Mining-Software SPSS Modeler attackierbar. Angreifer können sie etwa zum Absturz bringen. IBM hat ein Sicherheitsupdate veröffentlicht. Bislang gibt es seitens IBM keine Hinweise, dass Angreifer die Lücken bereits ausnutzen.

Sicherheitspatch installieren

Wie aus einer Warnmeldung hervorgeht, stecken in der Open-Source-Bibliothek Apache OpenNLP für die Verarbeitung natürlicher Sprache (Natural Language Processing) zwei Sicherheitslücken. Da IBMs Data-Mining-Software diese Bibliothek nutzt, ist sie auch verwundbar.

Eine „kritische“ Schwachstelle (CVE-2026-82617) betrifft die Verarbeitung von bestimmten Mustern mit regulären Ausdrücken in E-Mails und URLs. So können Angreifer durch präparierte Anfragen Abstürze auslösen.

Über die zweite, als „mittel“ eingestufte Lücke (CVE-2026-63317) kann ein Angreifer die Software dazu bringen, eine im Classpath vorhandene Java-Klasse zu laden und auszuführen. Das setzt laut IBM aber voraus, dass dort eine für Angreifer nützliche Klasse liegt – eine direkte Remote Code Execution ist das nicht.

Laut IBM ist IBM SPSS Modeler 19.0.0.0 betroffen. Den Fix hat das Unternehmen in der Warnmeldung verlinkt. Wer Apache OpenNLP selbst einsetzt, sollte auf Version 2.5.12 oder 3.0.0-M6 aktualisieren.