PT-2026-29577 · Microsoft · Onnx

Zeroxjacks · Publicado 2026-04-01 · Atualizado 2026-04-09 · CVE-2026-34445

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Name of the Vulnerable Software and Affected Versions ONNX versões anteriores a 1.21.0

Description A classe ExternalDataInfo em ONNX usava a função setattr() do Python para carregar metadados de arquivos de modelo ONNX sem validar as chaves. Isso permitia que um invasor criasse um modelo malicioso que pudesse sobrescrever propriedades internas do objeto. A exploração pode levar a uma condição de negação de serviço (DoS) causando alocação excessiva de memória, acesso não autorizado lendo partes não intencionais do arquivo ou corrupção de objeto através da injeção de atributos dunder.

Recommendations Atualize para a versão 1.21.0 ou posterior do ONNX.

Correção

Resource Exhaustion

RCE

Enumeração de Fraquezas

CWE-400

CWE-20

CWE-915

Identificadores relacionados

CVE-2026-34445

ECHO-A26A-B5FE-3AB2

GHSA-538C-55JV-C5G9

Produtos afetados

Onnx

Referências · 15

• https://github.com/onnx/onnx · Nota
• https://github.com/onnx/onnx/commit/e30c6935d67cc3eca2fa284e37248e7c0036c46b · Correção
• https://github.com/onnx/onnx/security/advisories/GHSA-538c-55jv-c5g9 · Aviso do Fabricante
• https://github.com/onnx/onnx/pull/7751 · Correção
• https://t.me/msrcreports/3757 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2026-34445 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-34445 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34445 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-34445 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-538c-55jv-c5g9 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-34445 · Aviso do Fabricante
• https://twitter.com/CveFindCom/status/2039670239693082921 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2040802012346913097 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2039613751574634922 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-34445 · Aviso do Fabricante