CVE-2026-28500 - ONNX 모델 로딩 함수의 설계적 결함, 제로 상호작용 공급망 공격 가능

핵심 요약 (Summary)

CVE-2026-28500은 ONNX(Open Neural Network Exchange)의 onnx.hub.load() 함수에 존재하는 보안 제어 우회 취약점이다. silent=True 파라미터 사용 시 모든 신뢰 검증 경고와 확인 프롬프트가 억제되어, 사용자 인식 없이 검증되지 않은 리포지토리에서 모델 다운로드가 가능하다. 이는 표준 모델 로딩 함수를 제로 상호작용 공급망 공격 벡터로 변형시킬 수 있는 설계적 결함이다. SHA256 무결성 검사는 동일한 공격자가 제어하는 리포지토리 내 매니페스트에 대해 검증하므로 무용지물이다. CISO와 보안 실무자는 CI/CD 파이프라인에서 silent=True 사용을 금지하고, 모델 로딩 전 신뢰 검증을 강제해야 한다.

기술 분석 (Technical Analysis)

Root Cause 분석

CVE-2026-28500의 근본 원인은 onnx.hub.load() 함수의 리포지토리 신뢰 검증 메커니즘에 부적절한 로직이 존재한다는 점이다. 비공식 소스에서 모델을 로드할 때 사용자에게 경고하도록 설계되었으나, silent=True 파라미터 사용 시 모든 보안 경고와 확인 프롬프트가 억제된다.

취약한 코드 (GitHub Security Advisory GHSA-hqmj-h5c6-369m):

if not _verify_repo_ref(repo) and not silent:
    # completely skipped when silent=True
    print("The model repo... is not trusted")
    if input().lower() != "y":
        return None

silent=True가 전달되면 _verify_repo_ref(repo) 검증이 실패하더라도 모든 경고와 확인 프롬프트가 스킵된다. 이는 검증되지 않은 GitHub 리포지토리에서 사용자 인식 없이 모델 다운로드를 허용한다.

Exploit 메커니즘

SHA256 무결성 검사 무용화
SHA256 무결성 검사는 동일한 공격자가 제어하는 리포지토리에 존재하는 매니페스트에 대해 검증하므로, 해시는 항상 일치한다. 이는 악의적으로 수정된 모델이나 악성 코드가 포함된 모델도 정상적인 것으로 간주하게 한다.

공격 시나리오 (개념적 설명):
공격자는 악성 코드를 포함한 ONNX 모델을 자신의 GitHub 리포지토리에 업로드한다. 리포지토리에는 SHA256 매니페스트도 포함되어 있으므로, onnx.hub.load()의 무결성 검사는 통과한다. 피해자의 파이프라인이 silent=True와 함께 onnx.hub.load("attacker/repo")를 호출하면, 사용자 인식 없이 악성 모델이 다운로드된다. 모델 로딩 시 악성 코드가 실행되면 공격자는 시스템 접근 권한을 얻는다.

PoC 코드 상태:
CVE-2026-28500에 대한 실제 PoC 코드는 공개되지 않았다. GitHub writeup에는 "A dangerous design decision that could easily be misused. Impact: Medium"라고만 명시되어 있다. 따라서 구체적인 익스플로잇 패이로드나 페이로드 형식은 제공되지 않는다.

영향 분석

silent=True와 외부 리포지토리 문자열을 사용하는 모든 파이프라인은 리포지토리 소유자가 제공하는 모든 것을 조용히 로드한다. 해당 모델이 로드 시 임의 코드를 실행하면 공격자가 시스템에 접근할 수 있다. 이는 특히 자동화된 CI/CD 파이프라인에서 위험하다. 대화형 프롬프트를 요구하지 않는 환경에서 silent=True는 편의성을 위해 자주 사용되지만, 보안 제어를 완전히 비활성화한다.

전략적 제언 (Expert Insights)

아키텍처 관점 보안 강화

1. silent=True 파라미터 완전 제거
silent=True 파라미터는 모든 보안 제어를 우회하므로, 완전히 제거해야 한다. ONNX 프로젝트는 이 기능을 제거하여 해결한다고 공표했다. 보안 설계 원칙상 사용자 확인이 필요한 위험 작업은 편의성을 위해 자동화하거나 건너뛸 수 없다. 특히 자동화된 파이프라인에서 사용자 인식 없는 작업은 공급망 공격의 주요 경로이다.

2. 신뢰 가능한 소스 화이트리스트
모델 로딩 시 신뢰 가능한 소스(예: 공식 ONNX Model Zoo, 검증된 내부 리포지토리)에 대한 화이트리스트를 유지해야 한다. 화이트리스트에 없는 소스에서 모델을 로드할 때는 반드시 명시적인 사용자 확인을 요구해야 한다. 이는 제로 상호작용 공급망 공격을 어렵게 만드는 방어 전략이다.

3. 모델 프로베넌스(Provenance) 검증
SLSA(Supply-chain Levels for Software Artifacts)와 같은 소프트웨어 공급망 보안 표준을 도입하여 모델 출처를 검증해야 한다. 서명된 모델 매니페스트, 독립적인 신뢰 앵커 서명 등을 요구하여 모델이 원래 출처에서 위조되지 않았음을 보장해야 한다.

4. 모델 샌드박싱
모델 로딩 시 샌드박싱 환경에서 실행하여 임의 코드 실행이나 파일 시스템 접근을 제한해야 한다. ONNX 모델은 기본적으로 코드를 실행하지 않으나, 일부 커스텀 오퍼레이터나 후킹 기능이 실행 코드를 포함할 수 있다. 샌드박싱은 이러한 기능의 악성 사용을 억제한다.

탐지 정책(Rule) 수립 가이드

1. CI/CD 파이프라인 정책 감사
모든 CI/CD 파이프라인을 스캔하여 onnx.hub.load(silent=True) 사용을 감지하고 금지해야 한다. 정적 분석 도구(SAST)를 사용하여 silent=True 파라미터 사용을 감지하는 규칙을 추가할 수 있다.

2. 의심스러운 리포지토리 다운로드 탐지
신뢰되지 않는 GitHub 리포지토리에서의 모델 다운로드 활동을 탐지해야 한다. 네트워크 모니터링 도구를 사용하여 의심스러운 리포지토리 URL로의 연결 시도를 감지하고 알림을 보낼 수 있다.

3. 비정상적 모델 로딩 동작 탐지
런타임 시 모델 로딩 후 비정상적인 파일 시스템 접근이나 프로세스 생성 동작을 탐지해야 한다. Falco와 같은 런타임 보안 도구는 Python 프로세스가 예기치 않은 os.system(), subprocess 호출을 수행할 때 경고를 보낼 수 있다.

참고 문헌 (References)

[Source] NVD - CVE-2026-28500: https://nvd.nist.gov/vuln/detail/CVE-2026-28500

[Source] GitHub Security Advisory - GHSA-hqmj-h5c6-369m: https://github.com/onnx/onnx/security/advisories/GHSA-hqmj-h5c6-369m

[Source] GitHub Write-up: https://github.com/ZeroXJacks/CVEs/blob/main/2026/CVE-2026-28500.md

[Source] CVE-Todo Analysis: https://cvetodo.com/cve/CVE-2026-28500

[Source] Reddit - Critical ONNX Vulnerability Enables Zero-Interaction Supply-Chain Attacks: https://www.reddit.com/r/pwnhub/comments/1rxfarj/critical_onnx_vulnerability_enables/

[Source] Reddit - PSA: onnx.hub.load(silent=True) suppresses all security warnings: https://www.reddit.com/r/Python/comments/1s02in4/psa_onnxhubloadsilenttrue_suppresses_all_security/

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.