Platform
python
Component
onnx
Opgelost in
1.15.1
1.16.0
CVE-2024-27318 beschrijft een Directory Traversal kwetsbaarheid in de onnx bibliotheek. Deze kwetsbaarheid stelt een aanvaller in staat om bestanden buiten de beoogde model directory te benaderen, wat kan leiden tot data-exfiltratie of andere schadelijke acties. De kwetsbaarheid treedt op in versies van onnx vóór en inclusief 1.15.0 en is een bypass voor een eerdere patch (CVE-2022-25882). Een upgrade naar versie 1.16.0 of hoger is vereist om deze kwetsbaarheid te verhelpen.
Een succesvolle exploitatie van CVE-2024-27318 kan aanzienlijke gevolgen hebben. Een aanvaller kan gebruik maken van de Directory Traversal kwetsbaarheid om willekeurige bestanden op het systeem te lezen, waaronder configuratiebestanden, gevoelige data en zelfs uitvoerbare code. Dit kan leiden tot data-exfiltratie, compromittering van de server en verdere aanvalsmogelijkheden. De impact is vergelijkbaar met andere Directory Traversal kwetsbaarheden, waarbij de aanvaller de directory structuur kan 'navigeren' om toegang te krijgen tot niet-bestemde bronnen. De bypass van CVE-2022-25882 maakt deze kwetsbaarheid extra gevaarlijk, omdat eerdere mitigaties mogelijk niet effectief zijn.
CVE-2024-27318 is openbaar bekend en de details van de kwetsbaarheid zijn beschikbaar. Er is geen informatie over actieve exploitatiecampagnes, maar de beschikbaarheid van de exploit en de bypass van een eerdere patch verhogen de kans op misbruik. De KEV status is momenteel onbekend. Er zijn publieke Proof-of-Concept (PoC) exploits beschikbaar, wat de kans op uitbuiting vergroot.
Organizations deploying ONNX Runtime in production environments, particularly those using it for machine learning inference with untrusted data, are at significant risk. This includes developers integrating ONNX Runtime into their applications and those relying on shared hosting environments where the ONNX Runtime installation may be managed by the provider.
• python / supply-chain:
import os
import subprocess
# Check ONNX Runtime version
result = subprocess.run(['onnxruntime', '--version'], capture_output=True, text=True)
version = result.stdout.splitlines()[0]
if version <= '1.9.0':
print("ONNX Runtime version is vulnerable.")• generic web: Check for ONNX Runtime endpoints exposed in your web application. Use curl to probe for potential file access vulnerabilities.
curl 'http://your-application/onnxruntime/model?external_data=/etc/passwd'disclosure
Exploit Status
EPSS
0.41% (61% percentiel)
CVSS-vector
De primaire mitigatie voor CVE-2024-27318 is het upgraden van de onnx bibliotheek naar versie 1.16.0 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge input validatie op het externe_data veld van de tensor proto, om te voorkomen dat paden buiten de beoogde directory worden toegestaan. Het gebruik van een Web Application Firewall (WAF) kan ook helpen om Directory Traversal pogingen te detecteren en te blokkeren. Na de upgrade, controleer de onnx configuratie en logbestanden op verdachte activiteit.
Actualice la biblioteca onnx a una versión posterior a la 1.15.0. Esto se puede hacer usando el gestor de paquetes pip con el comando: `pip install --upgrade onnx`. Asegúrese de verificar que la actualización se haya realizado correctamente y que la nueva versión esté en uso.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-27318 is a Directory Traversal vulnerability affecting ONNX Runtime versions up to 1.9.0, allowing attackers to read files outside the intended model directory.
You are affected if you are using ONNX Runtime versions 1.9.0 or earlier. Upgrade to version 1.16.0 or later to resolve the vulnerability.
Upgrade to ONNX Runtime version 1.16.0 or later. If upgrading is not possible, implement strict file access controls and validate external data.
Public proof-of-concept exploits are emerging, indicating a potential for active exploitation.
Refer to the ONNX Runtime GitHub repository for updates and advisories: https://github.com/microsoft/onnxruntime
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.