Spring AI ONNX Schwachstellen: Injections und Modellsubstitution

Kritische Sicherheitslücken in Spring AI und ONNX: SQL-Injection, JSONPath-Flaws und Modellersetzungen

Im März 2026 wurden kritische Sicherheitslücken in Spring AI und ONNX Runtime entdeckt. Spring AI ist anfällig für SQL-Injection, wenn es mit Datenbanken wie MariaDB integriert wird, und für JSONPath-Injection während der Verarbeitung von Benutzerdaten. Bei ONNX kann die Vertrauensüberprüfung umgangen werden, wenn Modelle über onnx.hub.load geladen werden, was Angriffen zur Einsetzung schädlicher Modelle ermöglicht. Diese Schwachstellen beeinträchtigen reale AI-Systeme, in denen Modelle mit Benutzerdaten und Infrastruktur interagieren.

Details zu den Spring AI-Sicherheitslücken

Spring AI integriert LLMs und Modelle in Spring-Anwendungen, einschließlich Zugriff auf Datenbanken. Zu den zentralen Problemen gehören:

• SQL-Injection: Tritt auf, wenn Datenbankabfragen ohne Eingabesanitisierung erstellt werden. Angreifer können schadhaften Code einfügen, um Abfrageprotokolle, Chatverläufe oder Nutzerprofile zu extrahieren.
• JSONPath-Injection: Ungefilterte Benutzereingaben erlauben die Manipulation von Daten in Mehrbenutzerumgebungen, wodurch Informationen anderer Clients gelesen oder verändert werden können.

Die Risiken steigen in Umgebungen mit gemeinsam genutzten Daten – etwa bei Chat-Systemen, Content-Erstellung oder CRM-Integrationen. Betroffene Versionen müssen unverzüglich gepatcht werden.

Risiken durch Modellersetzungen bei ONNX

ONNX bietet ein plattformübergreifendes Modellformat und eine Hub-basierte Ladenfunktion. Eine Sicherheitslücke ermöglicht es, die Vertrauensprüfungen beim Aufruf von onnx.hub.load zu umgehen, was die Bereitstellung schädlicher .onnx-Dateien erlaubt.

Die Folgen hängen vom verwendeten Stack ab:

• Ersetzung von Modellgewichten verändert die Logik und führt zu abnormalen Verhalten.
• Pipelines mit Konvertern könnten Remote-Code-Execution (RCE) durch Ausnutzung von Handler-Fehlern ermöglichen.

ONNX-Modelle sind vergleichbar mit Containern – das Laden aus unvertrauenswürdigen Quellen bringt systemische Risiken mit sich.

Wo diese Frameworks in der Infrastruktur verborgen sind

Spring AI und ONNX werden oft ohne zentrale Überwachung eingesetzt.

Häufige Einsatzszenarien für Spring AI:

• Interne Assistenten für Dokumentensuche und CRM-Vorschläge.
• Prototypen, die sich im Laufe der Zeit in Produktionsumgebungen entwickelt haben.
• Integrationen mit externen LLMs innerhalb von Spring-Architekturen.

Anwendungsbereiche von ONNX:

• Empfehlungs- und Bewertungsdienste.
• MLOps-Pipelines zur Standardisierung von Frameworks.
• Produkten von Drittanbietern mit eingebetteten Modellen.

Inventarprüfungen zeigen, dass diese Lösungen über verschiedene ML-Teams und Standardsoftware verteilt sind.

Empfehlungen zur Risikominderung

Für Sicherheits- und DevOps-Teams: Isolieren Sie den AI-Stack in einer dedizierten Sicherheitszone.

• Inventarisierung:

- Erstellen Sie eine Liste mit Frameworks, Verantwortlichen, Datentypen und Umgebungen (Produktion/Test).

- Identifizieren Sie Risiken: Datenbankzugriff, Mehrbenutzermodus.

• Updates & Hardening:

- Patchen Sie Spring AI und führen Sie Injection-Tests durch.

- Bei ONNX: Setzen Sie eine Whitelist vertrauenswürdiger Quellen; deaktivieren Sie automatisches Laden.

• Prozesse:

- Führen Sie AI-Projekt-Reviews auf CRM- oder Abrechnungsebene durch.

- Klären Sie strategische Komponenten (Hub, LLM-Proxies) ab.

Aktionen in einer Woche – Checkliste

Spring AI:

• Scannen Sie Repositories und Abhängigkeiten.
• Auditieren Sie Datenzugriffe und Mehrbenutzer-Szenarien.
• Aktualisieren Sie Versionen und implementieren automatisierte SQL/JSONPath-Tests.

ONNX:

• Finden Sie alle Vorkommen von onnx.hub.load und konfigurieren Sie automatische Updates.
• Beschränken Sie die Quellen auf eine Whitelist.
• Fordern Sie Patches und Validierungslogs von Herstellern an.

Allgemein:

• Fügen Sie AI-Frameworks der CVE-Monitoring-Liste hinzu.
• Weisen Sie einen Verantwortlichen für den AI-Stack zu.
• Dokumentieren Sie Anforderungen in DevSecOps-Workflows.

Wichtige Erkenntnisse

• SQL- und JSONPath-Injection in Spring AI gefährden die Sicherheit von Benutzerdaten in Datenbanken und Mehrbenutzersystemen.
• Das Umgehen von Vertrauensprüfungen in ONNX ermöglicht Modellersetzungen, was potenziell RCE nach sich zieht.
• AI-Frameworks erfordern eine Inventarisierung und dedizierte Sicherheitssegmentierung.
• Der Übergang von AI-Projekten in die Produktion muss einer vollständigen Sicherheitsüberprüfung unterzogen werden.
• Die Überwachung von CVEs für AI-Stacks sollte eine eigenständige Rolle im Team sein.

— Editorial Team