【漏洞通告】PyTorch 远程命令执行漏洞(CVE-2025-32434)
【漏洞通告】PyTorch 远程命令执行漏洞(CVE-2025-32434)
启明星辰安全简讯 2025-04-24 08:41
一、漏洞概述
|
漏洞名称 |
PyTorch 远程命令执行漏洞 |
||
|
CVE ID |
CVE-2025-32434 |
||
|
漏洞类型 |
命令执行 |
发现时间 |
2025-04-24 |
|
漏洞评分 |
9.3 |
漏洞等级 |
严重 |
|
攻击向量 |
网络 |
所需权限 |
无 |
|
利用难度 |
低 |
用户交互 |
不需要 |
|
PoC/EXP |
未公开 |
在野利用 |
未发现 |
PyTorch是一个开源的深度学习框架，广泛用于机器学习和人工智能研究。它提供强大的张量计算功能，支持GPU加速，并且基于自动求导系统（autograd），使得模型训练更加高效。PyTorch以其动态计算图和灵活性受到研究人员和开发者的青睐，能够轻松构建和训练神经网络。它支持多种深度学习任务，包括计算机视觉、自然语言处理等，且与Python生态系统兼容，方便与其他工具和库集成。
2025年4月24日，启明星辰集团VSRC监测到PyTorch官方发布的安全公告，指出在PyTorch 2.5.1及之前版本中存在一个远程命令执行（RCE）漏洞。该漏洞发生在使用torch.load函数加载模型时，特别是在参数weights_only=True被设置的情况下。攻击者可利用此漏洞执行恶意代码，从而远程控制系统。该漏洞的评分为9.3分，漏洞级别为严重。
二、影响范围
PyTorch<=2.5.1
三、安全措施
3.1 升级版本
官方已发布安全更新，建议受影响用户尽快升级至 PyTorch 版本 2.6.0 或更高版本，以修复该远程命令执行（RCE）漏洞。
下载链接：
https://github.com/pytorch/pytorch/releases/
3.2 临时措施
暂无。
3.3 通用建议
定期更新系统补丁，减少系统漏洞，提升服务器的安全性。
加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
使用企业级安全产品，提升企业的网络安全性能。
加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
启用强密码策略并设置为定期修改。
3.4 参考链接
https://github.com/pytorch/pytorch/security/advisories/GHSA-53q9-r3pm-6pq6
https://nvd.nist.gov/vuln/detail/CVE-2025-32434