PT-2025-12194
CVE-2024-7804
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-21
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات pytorch/pytorch <=2.3.1
الوصف
توجد ثغرة أمنية تتعلق بإلغاء التسلسل في إطار عمل RPC الخاص بـ Pytorch، مما يسمح للمهاجم بتنفيذ تعليمات برمجية عشوائية عن بُعد من خلال إرسال كائن PythonUDF مُسلسل ضار. تؤدي هذه الثغرة إلى تنفيذ التعليمات البرمجية عن بُعد على العقدة الرئيسية بسبب عدم وجود تدقيق أمني أثناء عملية إلغاء تسلسل كائنات PythonUDF في ملف pytorch/torch/distributed/rpc/internal.py.
التوصيات
بالنسبة للإصدارات <=2.3.1، قم بالتحديث إلى إصدار أعلى من 2.3.1 لحل المشكلة. كحل مؤقت، يُنصح بتعطيل استخدام كائنات PythonUDF في إطار العمل torch.distributed.rpc حتى يتوفر تصحيح. قم بتقييد الوصول إلى الوحدة النمطية torch.distributed.rpc لتقليل مخاطر الاستغلال. تجنب استخدام كائن
PythonUDF في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾