CVE-2024-5187
Açıklama
onnx/onnx framework sürüm 1.16.0'ın `download_model_with_test_data` fonksiyonundaki bir güvenlik açığı, kötü niyetli tar dosyalarındaki dizin gezginliği (path traversal) saldırılarının yetersiz şekilde önlenmesi nedeniyle rastgele dosya üzerine yazılmasına izin vermektedir. Bu güvenlik açığı, saldırganların sistemdeki herhangi bir dosyanın üzerine yazmasına olanak tanıyarak potansiyel olarak uzaktan kod çalıştırmaya, sistem, kişisel veya uygulama dosyalarının silinmesine yol açmakta ve böylece sistemin bütünlüğünü ve erişilebilirliğini etkilemektedir. Sorun, kötü niyetli tar dosyasında mutlak bir yol belirtilerek `/home/kali/.ssh/authorized_keys` dosyasının üzerine yazılabildiğinin gösterildiği üzere, fonksiyonun tar dosyası içindeki yollar üzerinde güvenlik kontrolleri yapmadan çıkarma işlemini gerçekleştirmesinden kaynaklanmaktadır.
Nasıl düzeltilir
- onnx1.16.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation onnx | 1.16.0 | — |
| onnxPyPI | v < 1.16.2, v ≤ 1.17.0 | 1.16.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.