onnx staat Arbitrary File Overwrite toe in download_model_with_test_data

Een succesvolle exploitatie van CVE-2024-5187 kan leiden tot het overschrijven van willekeurige bestanden op het systeem. Dit omvat kritieke systeembestanden, persoonlijke gegevens en applicatiebestanden. De impact is aanzienlijk, aangezien een aanvaller potentieel remote code execution kan bereiken, systemen kan verwijderen, of de integriteit en beschikbaarheid van de applicatie kan compromitteren. De kwetsbaarheid is vergelijkbaar met andere path traversal kwetsbaarheden waarbij onvoldoende validatie van gebruikersinvoer leidt tot ongeautoriseerde toegang tot bestanden. De ernst van de impact hangt af van de privileges van de gebruiker die de onnx framework uitvoert.

Organizations and developers utilizing the onnx framework in their machine learning pipelines, particularly those processing untrusted data or models from external sources, are at risk. Systems with older versions of onnx deployed in production environments, especially those with limited security controls, are particularly vulnerable.

• python / system:

import os
import tarfile

def check_tar_extraction(tar_file_path, extraction_path):
    try:
        with tarfile.open(tar_file_path, 'r') as tar:
            tar.extractall(path=extraction_path)
        print(f"Extraction successful to {extraction_path}")
    except Exception as e:
        print(f"Extraction failed: {e}")

# Example usage (replace with actual paths)
# check_tar_extraction('/path/to/malicious.tar.gz', '/tmp/extraction_test')

• python / library: Examine onnx framework code for instances of tarfile.extractall without proper path sanitization. • generic web: Monitor web server access logs for requests containing tar files, especially those originating from untrusted sources.

1. 2024-06-06Disclosure

   disclosure

1. Gereserveerd2024-05-21
2. Gepubliceerd2024-06-06
3. Gewijzigd2025-10-09
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-5187 is het upgraden van het onnx framework naar versie 1.16.2 of hoger. Indien een upgrade direct niet mogelijk is, overweeg dan het implementeren van restrictieve bestandsrechten om de impact van een succesvolle exploitatie te beperken. Het is ook raadzaam om de onnx framework alleen te gebruiken met betrouwbare bronnen en om de integriteit van de tar bestanden te verifiëren voordat ze worden geëxtraheerd. Het implementeren van een Web Application Firewall (WAF) met regels die path traversal aanvallen detecteren kan een extra beveiligingslaag bieden. Na de upgrade, verifieer de correcte werking van de applicatie en controleer de logbestanden op ongebruikelijke activiteit.