NVIDIA TensorRT: vulnerabilità ONNX permette RCE con CVSS 7.8

Il 24 agosto 2026 Zero Day Initiative ha reso pubblica la vulnerabilità ZDI-26-593, identificata come CVE-2026-24268, che permette esecuzione remota di codice arbitrario attraverso il parsing di modelli ONNX malformati in NVIDIA TensorRT. Il bug, un heap-based buffer overflow causato da mancata validazione della lunghezza dei dati utente, richiede interazione umana minima: bastano l'apertura di un file o la visita a una pagina web malevola. Quattro mesi prima, il 15 aprile, la stessa falla era stata segnalata confidenzialmente a NVIDIA, che ha rilasciato una correzione.

Il parser ONNX come superficie d'attacco

Il formato ONNX (Open Neural Network Exchange) è lo standard de facto per scambiare modelli tra framework di machine learning. TensorRT, il runtime di inference ottimizzato di NVIDIA, lo ingesta per compilare grafi computazionali in eseguibili GPU-accelerati. Secondo l'advisory ZDI, la falla risiede proprio in questa fase di parsing: "The specific flaw exists within the parsing of ONNX models. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer."

L'anatomia del bug è quella di una memory corruption classica, ma il contesto la rende insidiosa. Non serve compromettere server, né esporre API. Un modello ONNX — file che in ambienti AI circolano costantemente tra repository pubblici, partner commerciali, pipeline CI/CD — diviene il payload stesso. Il confine tra dato e codice eseguibile si dissolve nel momento in cui il runtime lo deserializza senza controlli di dimensione adeguati.

Il profilo di rischio del CVSS 7.8

Il record ufficiale CVE-2026-24268 assegna alla vulnerabilità un punteggio di 7.8 su 10, con vettore CVSS:3.1 AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. La combinazione è leggibile: attacco locale, complessità bassa, nessun privilegio preliminare richiesto, ma interazione utente necessaria. L'impatto su confidenzialità, integrità e disponibilità è alto in tutte e tre le dimensioni.

L'elemento "UI:R" (User Interaction Required) non abbassa il pericolo: nel workflow tipico dell'inference ML, l'interazione è implicita. Un data scientist scarica un modello da Hugging Face e lo carica in TensorRT. Un ingegnere MLOps riceve un artefatto da un fornitore e lo inserisce in una pipeline di deployment. In entrambi i casi, l'"apertura del file malevolo" è un'operazione routinaria, non un evento anomalo che richiede ingegneria sociale elaborata.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of NVIDIA TensorRT. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file." — ZDI Advisory ZDI-26-593

Quattro mesi di gestione coordinata

La timeline della disclosure rivela una prassi di responsible disclosure rispettata: segnalazione a NVIDIA il 15 aprile 2026, pubblicazione coordinata il 24 agosto 2026. Zero Day Initiative non attribuisce pubblicamente la scoperta a un ricercatore identificato, un dettaglio che il dossier non chiarisce. NVIDIA ha confermato il rilascio di una patch, ma l'advisory ZDI non specifica la versione esatta che la include né fornisce un URL diretto al bollettino del vendor.

Questo limite operativo è rilevante: senza indicazione precisa della versione correttiva, gli amministratori devono verificare autonomamente presso i canali ufficiali NVIDIA quali release integrino il fix. Il record CVE elenca le versioni affette (da v0 a v10.16.1 e v1.3.0 rc14) ma non quelle sanate. La discrepanza tra la genericità dell'advisory ZDI e la granularità del record CVE è un punto di frizione per la gestione del ciclo di patch in produzione.

Cosa fare adesso

Le organizzazioni che impiegano NVIDIA TensorRT per deployment di modelli ML in produzione devono verificare la presenza delle versioni affette nel proprio parco installato: v0 fino a v10.16.1 e v1.3.0 rc14, secondo il record ufficiale CVE. L'aggiornamento rilasciato da NVIDIA va applicato prioritariamente sui nodi di inference che ricevono modelli da fonti esterne o repository pubblici.

Va inoltre inventariato il flusso di modelli ONNX nella supply chain interna: quali repository, partner o pipeline introducono artefatti non verificati direttamente nel runtime TensorRT. Il perimetro di attacco non è il modello stesso, ma il parser che lo accoglie; la verifica deve quindi estendersi al punto di ingresso nel runtime, non solo all'origine del file.

Per i team che operano in ambienti con elevata ricezione di modelli terzi — piattaforme di model serving, servizi di inference multi-tenant, pipeline di benchmarking — è opportuno isolare il caricamento ONNX in sandbox o container con privilegi minimi, in attesa di confermare l'assenza delle versioni vulnerabili. Il dossier non documenta exploit pubblici o attacchi in-the-wild, ma il vettore di attacco è realistico e la complessità di exploitation bassa.

Infine, va monitorata la pubblicazione di dettagli tecnici aggiuntivi da parte di NVIDIA: l'assenza di un URL patch specifico nell'advisory ZDI suggerisce che la documentazione del vendor possa integrarsi nelle prossime ore o giorni. La verifica diretta dei bollettini ufficiali NVIDIA rimane il canale autoritativo per la conferma delle versioni corrette.

La supply chain invisibile dell'AI

Il caso CVE-2026-24268 illustra una tensione strutturale dell'infrastruttura AI contemporanea. I modelli neurali sono trattati come dati — file da scaricare, condividere, versionare — ma il loro parsing è esecuzione di codice in tutti gli effetti. Il runtime che li ottimizza per l'inference, TensorRT in questo caso, opera con privilegi spesso elevati su hardware costoso e sensibile. Un formato serializzato complesso come ONNX, progettato per l'interoperabilità, introduce una superficie d'attacco che le pipeline MLOps non sempre contemplano nei loro controlli di sicurezza.

La responsabilità della protezione non ricade solo sul vendor del runtime, ma sulla comprensione che la supply chain dei modelli AI è una supply chain di esecuzione. Finché questa equivalenza rimane invisibile, ogni repository pubblico e ogni trasferimento di artefatto tra team rappresenta un potenziale punto di compromissione. La patch di NVIDIA chiude questa specifica istanza; la categoria di rischio resta aperta.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-593/
• http://www.zerodayinitiative.com/advisories/published/
• https://www.cve.org/CVERecord?id=CVE-2026-24268
• http://www.zerodayinitiative.com/advisories/upcoming/
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti