PT-2025-10576 · Pytorch+1 · Pytorch+1

Default436352 · Publicado 2025-03-10 · Atualizado 2026-02-26 · CVE-2025-2148

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas PyTorch versão 2.6.0+cu124

Descrição Uma vulnerabilidade crítica foi encontrada na função torch.ops.profiler. call end callbacks on jit fut do componente Tuple Handler. A manipulação do argumento None leva à corrupção de memória. O ataque pode ser realizado remotamente, e a complexidade de um ataque é relativamente alta. A exploração parece ser difícil.

Recomendações Como solução temporária, considere desativar a função torch.ops.profiler. call end callbacks on jit fut até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Buffer Overflow

Enumeração de Fraquezas

CWE-119

Identificadores relacionados

BIT-PYTORCH-2025-2148

CVE-2025-2148

GHSA-C678-JFCJ-6JMF

PYSEC-2025-189

Produtos afetados

Debian

Pytorch

Referências · 24

• 🔥 https://github.com/pytorch/pytorch/issues/147722 · Exploit
• https://github.com/pytorch/pytorch/blob/b0a67c7495bb11ecb23e556058db059ba48354af/torch/autograd/profiler.py#L990 · Nota
• https://github.com/pytorch/pytorch · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/torch/PYSEC-2025-189.yaml · Nota
• https://security-tracker.debian.org/tracker/CVE-2025-2148 · Aviso do Fabricante
• https://vuldb.com/?ctiid.299059 · Nota
• https://vuldb.com/?submit.505959 · Nota
• https://cve.org/CVERecord?id=CVE-2025-2148 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-c678-jfcj-6jmf · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2025-189 · Aviso do Fabricante
• https://twitter.com/dailycve/status/1937250533678731363 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-2148 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1899074572890275994 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2025-2148 · Aviso do Fabricante
• https://t.me/cveNotify/153051 · Publicação no Telegram