CVE-2026-44484

PyTorch Lightning – mechanizm harvesting poświadczeń (Embedded Malicious Code)

CVSS 9.3v4.0pub. 2026-05-14upd. 2026-06-30

PyTorch Lightning w wersji 2.6.2 zawiera funkcjonalność zgodną z mechanizmem zbierania poświadczeń (credential harvesting). Podatność sklasyfikowana jako CWE-506 (Embedded Malicious Code) czyni ją wyjątkowo poważną dla środowisk trenowania i dostrajania modeli AI.

▸ Pokaż oryginał (EN)

PyTorch Lightning is a deep learning framework to pretrain and finetune AI models. Versions 2.6.2 and 2.6.2 have introduced functionality consistent with a credential harvesting mechanism.

🤖 Analiza AI

Jak działa

Według opisu, wersja 2.6.2 biblioteki PyTorch Lightning wprowadza kod, którego zachowanie jest spójne z mechanizmem credential harvesting — czyli nieautoryzowanego przechwytywania poświadczeń użytkowników lub środowiska. CWE-506 wskazuje na osadzony złośliwy kod w paczce oprogramowania. Atakujący lub skompromitowany łańcuch dostaw mógł wprowadzić taką funkcjonalność bezpośrednio do dystrybucji biblioteki.

Skutki

Atakujący może uzyskać dostęp do poświadczeń (np. kluczy API, tokenów, haseł) przechowywanych w środowisku, w którym uruchomiona jest biblioteka, co może prowadzić do przejęcia kont, wycieku danych i dalszego kompromitowania infrastruktury.

Mitygacja

Należy natychmiast usunąć wersję 2.6.2 PyTorch Lightning ze wszystkich środowisk i nie instalować tej wersji. Należy zastosować patche dostępne u producenta zgodnie z referencjami (GitHub Security Advisory GHSA-w37p-236h-pfx3). Zaleca się również audyt środowisk, w których wersja 2.6.2 była zainstalowana, pod kątem ewentualnego wycieku poświadczeń.

Kogo dotyczy

PyTorch Lightning w wersji 2.6.2

Uwagi

Opis wskazuje, że podatna jest wyłącznie wersja 2.6.2 (wymieniona dwukrotnie w opisie oryginalnym, co może sugerować błąd redakcyjny w dokumentacji – możliwe że dotyczy tylko jednej konkretnej wydanej wersji). Przypadek może wskazywać na atak na łańcuch dostaw (supply chain attack). Szczegóły dostępne w GitHub Security Advisory GHSA-w37p-236h-pfx3.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X