ONNX: Leitura Arbitrária de Arquivos via Bypass de Hardlink ExternalData no carregamento ONNX

A principal consequência desta vulnerabilidade é a possibilidade de um atacante ler arquivos arbitrários no sistema onde o ONNX Runtime está sendo executado. A exploração envolve a criação de um hardlink para um arquivo sensível, como arquivos de configuração, chaves de API ou dados confidenciais. Ao carregar um modelo ONNX que utiliza esse hardlink, o atacante pode efetivamente acessar o conteúdo do arquivo alvo sem a necessidade de privilégios elevados. Em ambientes de aprendizado de máquina, a vulnerabilidade é particularmente perigosa, pois um modelo malicioso pode ser injetado na cadeia de suprimentos, permitindo que o atacante roube segredos silenciosamente. A ausência de verificação do número de links (st_nlink) no código de validação é a raiz do problema, permitindo que hardlinks contornem as proteções existentes contra path traversal. A exploração bem-sucedida pode levar à divulgação de informações confidenciais e comprometer a integridade do sistema.

Organizations heavily reliant on ONNX Runtime for machine learning inference, particularly those integrating models from external sources or using shared hosting environments, are at increased risk. Environments utilizing older versions of ONNX Runtime (≤1.9.0) are directly vulnerable. AI/ML development teams and DevOps engineers responsible for model deployment are key stakeholders.

• python / onnx:

import os
import onnx

def check_hardlink(filepath):
    try:
        st = os.stat(filepath)
        if st.st_nlink > 1:
            print(f"Potential hardlink detected: {filepath}")
    except FileNotFoundError:
        pass

# Example usage: Check a file path
check_hardlink('/path/to/your/onnx/model.onnx')

• generic web: Inspect ONNX model files for unusual file paths or hardlink indicators using tools like ls -l or stat to check the link count.

1. 2026-04-01Disclosure

   disclosure

1. Reservado2026-03-27
2. Publicada2026-04-01
3. Modificada2026-04-04
4. EPSS atualizado2026-04-09

A mitigação primária para CVE-2026-34446 é atualizar o ONNX Runtime para a versão 1.21.0 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, medidas alternativas podem ser implementadas. Uma opção é adicionar validações adicionais no código que carrega modelos ONNX, verificando explicitamente o número de links (st_nlink) de cada arquivo antes de carregá-lo. Outra medida é restringir o acesso ao diretório onde os modelos ONNX são armazenados, limitando o escopo potencial de um ataque. Implementar regras em um Web Application Firewall (WAF) ou proxy para bloquear o carregamento de modelos ONNX de fontes não confiáveis também pode ajudar a reduzir o risco. Para detecção, procure por padrões de hardlink suspeitos no sistema de arquivos, embora isso possa ser desafiador. Após a atualização, confirme a correção verificando se a função onnx.load agora valida corretamente os hardlinks.