プラットフォーム
python
コンポーネント
onnx
修正版
1.16.2
onnxフレームワークのdownloadmodelwithtestdata関数に、バージョン1.9.0以前において、パストラバーサル攻撃に対する不十分な対策により、任意ファイルアクセス脆弱性が存在します。この脆弱性を悪用されると、攻撃者はシステム上の任意のファイルを上書きすることが可能となり、システムの機密性、完全性、可用性に深刻な影響を及ぼす可能性があります。バージョン1.16.2へのアップデートにより、この脆弱性は修正されています。
この脆弱性は、攻撃者が悪意のあるtarファイルをonnxフレームワークに処理させることで、システム上の任意のファイルを上書きすることを可能にします。これにより、攻撃者は重要なシステムファイルを改ざんしたり、削除したり、機密情報を盗み出したりすることが可能になります。最悪の場合、リモートコード実行につながり、システム全体を乗っ取られる危険性もあります。この脆弱性は、tarファイルの展開処理におけるパスの検証が不十分であることに起因します。攻撃者は、巧妙に細工されたtarファイルを作成し、フレームワークの脆弱性を突いて、意図しない場所にファイルを書き込むことができます。
この脆弱性は、公開されており、悪用される可能性があります。現時点では、公的に利用可能なPoC（Proof of Concept）は確認されていませんが、脆弱性の性質上、攻撃者による悪用が懸念されます。CISAのKEV（Known Exploited Vulnerabilities）カタログへの登録状況は不明です。NVD（National Vulnerability Database）および関連するセキュリティ情報源を継続的に監視し、最新の情報を入手するようにしてください。
Organizations and developers utilizing the onnx framework in their machine learning pipelines, particularly those processing untrusted data or models from external sources, are at risk. Systems with older versions of onnx deployed in production environments, especially those with limited security controls, are particularly vulnerable.
• python / system:
import os
import tarfile
def check_tar_extraction(tar_file_path, extraction_path):
try:
with tarfile.open(tar_file_path, 'r') as tar:
tar.extractall(path=extraction_path)
print(f"Extraction successful to {extraction_path}")
except Exception as e:
print(f"Extraction failed: {e}")
# Example usage (replace with actual paths)
# check_tar_extraction('/path/to/malicious.tar.gz', '/tmp/extraction_test')• python / library: Examine onnx framework code for instances of tarfile.extractall without proper path sanitization.
• generic web: Monitor web server access logs for requests containing tar files, especially those originating from untrusted sources.
disclosure
エクスプロイト状況
EPSS
1.36% (80% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応として、onnxフレームワークをバージョン1.16.2以降にアップデートすることを強く推奨します。アップデートが困難な場合は、tarファイルの展開処理を一時的に停止するか、信頼できるソースからのtarファイルのみを処理するように制限してください。また、WAF（Web Application Firewall）やIPS（Intrusion Prevention System）などのセキュリティ対策を導入し、悪意のあるtarファイルのアップロードを検知・遮断することも有効です。ファイル展開前に、展開先パスが安全であることを検証するカスタムスクリプトを実装することも検討してください。
Actualice la biblioteca onnx a una versión posterior a la 1.16.0 que corrija la vulnerabilidad de path traversal. Verifique las notas de la versión para confirmar que la vulnerabilidad CVE-2024-5187 ha sido abordada. Puede actualizar la biblioteca utilizando el gestor de paquetes pip: `pip install --upgrade onnx`.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-5187は、onnxフレームワークのバージョン1.9.0以前における、悪意のあるtarファイル内のパストラバーサル攻撃により、システム上の任意のファイルを上書きできる脆弱性です。
onnxフレームワークのバージョン1.9.0以前を使用している場合は、影響を受けます。バージョン1.16.2にアップデートしてください。
onnxフレームワークをバージョン1.16.2以降にアップデートしてください。
現時点では公的なPoCは確認されていませんが、脆弱性の性質上、悪用される可能性があります。
onnxフレームワークの公式アドバイザリは、関連するセキュリティ情報源を継続的に監視してください。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。