JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-011397 Open Neural Network Exchange (ONNX) は、機械学習の相互運用性のためのオープンスタンダードです。バージョン1.21.0以前では、ONNXのExternalDataInfoクラスがPythonのsetattr()関数を使用し、ONNXモデルファイルからメタデータ（ファイルパスやデータ長など）を直接ロードしていました。この際、ファイル内の「キー」が有効かどうかのチェックを行っていませんでした。そのため、攻撃者が内部オブジェクトのプロパティを上書きする悪意のあるモデルを作成する可能性がありました。この問題はバージョン1.21.0で修正されました。 cpe:/a:linuxfoundation:onnx https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-011397.html Common Vulnerabilities and Exposures (CVE) CVE-2026-34445 https://www.cve.org/CVERecord?id=CVE-2026-34445 National Vulnerability Database (NVD) CVE-2026-34445 https://nvd.nist.gov/vuln/detail/CVE-2026-34445 GitHub Malicious ONNX models can crash servers by exploiting unprotected object settings. Advisory onnx/onnx GitHub https://github.com/onnx/onnx/security/advisories/GHSA-538c-55jv-c5g9 JVNDB CWE-20 https://jvndb.jvn.jp/ja/cwe/CWE-20.html JVNDB CWE-400 https://cwe.mitre.org/data/definitions/400.html JVNDB CWE-915 https://cwe.mitre.org/data/definitions/915.html 関連文書 Merged Fix object state corruption and DoS via ExternalDataInfo attri… onnx/onnx@e30c693 GitHub https://github.com/onnx/onnx/commit/e30c6935d67cc3eca2fa284e37248e7c0036c46b 関連文書 Merged Fix object state corruption and DoS via ExternalDataInfo attribute injection by titaiwangms Pull Request #7751 onnx/onnx GitHub https://github.com/onnx/onnx/pull/7751 2026-04-17T11:03:50+09:00 2026-04-17T11:03:50+09:00