【漏洞通告】PyTorch 远程命令执行漏洞(CVE-2025-32434)
发布时间 2025-04-24一、漏洞概述
漏洞名称 | PyTorch 远程命令执行漏洞 | ||
CVE ID | CVE-2025-32434 | ||
漏洞类型 | 命令执行 | 发现时间 | 2025-04-24 |
漏洞评分 | 9.3 | 漏洞等级 | 严重 |
攻击向量 | 网络 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 不需要 |
PoC/EXP | 未公开 | 在野利用 | 未发现 |
PyTorch是一个开源的深度学习框架，广泛用于机器学习和人工智能研究。它提供强大的张量计算功能，支持GPU加速，并且基于自动求导系统（autograd），使得模型训练更加高效。PyTorch以其动态计算图和灵活性受到研究人员和开发者的青睐，能够轻松构建和训练神经网络。它支持多种深度学习任务，包括计算机视觉、自然语言处理等，且与Python生态系统兼容，方便与其他工具和库集成。
2025年4月24日，启明星辰集团VSRC监测到PyTorch官方发布的安全公告，指出在PyTorch 2.5.1及之前版本中存在一个远程命令执行（RCE）漏洞。该漏洞发生在使用torch.load函数加载模型时，特别是在参数weights_only=True被设置的情况下。攻击者可利用此漏洞执行恶意代码，从而远程控制系统。该漏洞的评分为9.3分，漏洞级别为严重。
二、影响范围
PyTorch<=2.5.1
三、安全措施
3.1 升级版本
下载链接：https://github.com/pytorch/pytorch/releases/
3.2 临时措施
暂无。
京公网安备11010802024551号