CVE-2025-32434

Beschreibung

Technische Details

Der Einstiegspunkt der Schwachstelle ist load() in torch/serialization.py

wenn der Schutz (weights_only) aktiviert ist: Das Laden einer tar-Datei würde diese Funktionen in einer Kette aufrufen:

1. load(): torch/serialization.py:1117
2. _load_legacy(): torch/serialization.py:1376 bis torch/serialization.py:1406
3. persistent_load(): torch/serialization.py:1474
4. pickle_moudle.load(): torch/serialization.py:1487
5. Unpickler.load(): torch/_weights_only_unpickler.py:214

Im weights_only_unpickler-Modus dreht sich alles um die Pickle-Deserialisierung, daher kann die Suche nach dem Pickle-Protokoll helfen. Referenz: https://rushter.com/blog/pickle-serialization-internals/

Wie dieser POC funktioniert

Ausgewählte Version: pytorch 2.5.0

Dieser POC generiert zunächst eine bösartige tar-Datei. Beachten Sie, dass der Dateiname "storages" von pytorch benötigt wird, und lädt dann die tar-Datei, um die Schwachstelle auszulösen.

Weiteres Ziel

Nun ist die tar-Datei im unsicheren Modus ausführbar. Der nächste Schritt besteht darin, den Sicherheitsschutz zu aktivieren und die Überprüfung wie folgt zu umgehen:

_pickle.UnpicklingError: Unsupported global: GLOBAL __builtin__.eval was not an allowed global by default. Please use `torch.serialization.add_safe_globals([eval])` to allowlist this global if you trust this class/function.