PT-2024-32976 · Facebook+1 · Pytorch+1

Aftersnow + 2 · Publicado 2024-10-29 · Atualizado 2025-07-16 · CVE-2024-48063

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do PyTorch anteriores à 2.4.1

Descrição

O problema diz respeito ao RemoteModule no PyTorch, que, segundo relatos, apresenta uma vulnerabilidade de execução remota de código (RCE) por deserialização. No entanto, observa-se que esse comportamento é intencional na computação distribuída do PyTorch e é contestado por várias partes.

Recomendações

Para versões anteriores à 2.4.1, considere restringir o uso do RemoteModule para minimizar o risco de exploração até que uma resolução ou orientação mais clara seja fornecida.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BIT-PYTORCH-2024-48063

CVE-2024-48063

PYSEC-2024-259

Produtos afetados

Debian

Pytorch

Referências · 15

• 🔥 https://rumbling-slice-eb0.notion.site/Distributed-RPC-Framework-RemoteModule-has-Deserialization-RCE-in-pytorch-pytorch-111e3cda9e8c8021a7d3cbc61ee1a20c · Exploit
• https://github.com/pytorch/pytorch/security/policy#using-distributed-features · Nota
• https://github.com/pytorch/pytorch/issues/129228 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-48063 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2024-48063 · Aviso do Fabricante
• https://t.me/avleonovcom/1474 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2024-259 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-48063 · Nota de Segurança
• https://gist.github.com/hexian2001/c046c066895a963ecc0a2cf9e1180065 · Nota
• https://osv.dev/vulnerability/BIT-pytorch-2024-48063 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-48063 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2024-48063 · Nota de Segurança
• https://ubuntu.com/security/CVE-2024-48063 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-48063 · Aviso do Fabricante
• https://t.me/cvedetector/9354 · Publicação no Telegram