CVE-2025-32434

RCE w PyTorch przy deserializacji modelu przez torch.load

CVSS 9.3v4.0pub. 2025-04-18upd. 2025-12-01

W bibliotece PyTorch w wersji 2.5.1 i wcześniejszych istnieje podatność umożliwiająca zdalne wykonanie kodu (RCE) podczas ładowania modelu funkcją torch.load z parametrem weights_only=True. Podatność jest szczególnie niebezpieczna, ponieważ parametr weights_only=True był dotychczas powszechnie uważany za bezpieczną metodę ładowania modeli.

▸ Pokaż oryginał (EN)

PyTorch is a Python package that provides tensor computation with strong GPU acceleration and deep neural networks built on a tape-based autograd system. In version 2.5.1 and prior, a Remote Command Execution (RCE) vulnerability exists in PyTorch when loading a model using torch.load with weights_only=True. This issue has been patched in version 2.6.0.

🤖 Analiza AI

Jak działa

Podatność wynika z niebezpiecznej deserializacji danych (CWE-502). Mimo użycia opcji weights_only=True, która miała ograniczać zakres deserializowanych obiektów, atakujący jest w stanie spreparować złośliwy plik modelu, którego załadowanie prowadzi do wykonania arbitralnego kodu. W ten sposób mechanizm zabezpieczający można ominąć, co sprawia, że samo zaufanie do parametru weights_only=True jest niewystarczające jako środek ochrony.

Skutki

Atakujący, który skłoni ofiarę do załadowania złośliwego pliku modelu, może uzyskać pełne wykonanie dowolnego kodu na systemie ofiary z uprawnieniami procesu ładującego model, co może prowadzić do całkowitego przejęcia kontroli nad systemem.

Mitygacja

Należy zaktualizować PyTorch do wersji 2.6.0 lub nowszej, w której podatność została naprawiona. Do czasu aktualizacji należy unikać ładowania modeli pochodzących z niezaufanych źródeł, niezależnie od użytego parametru weights_only.

Kogo dotyczy

PyTorch w wersji 2.5.1 i wcześniejszych (pakiet Python: torch, projekt Linux Foundation PyTorch).

Uwagi

Podatność jest szczególnie istotna w środowiskach MLOps i data science, gdzie ładowanie zewnętrznych modeli przy użyciu torch.load jest powszechną praktyką. Szczegóły techniczne dostępne w security advisory GitHub pod adresem GHSA-53q9-r3pm-6pq6.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X