weights_only_unpickler モードでは、すべて pickle のデシリアライゼーションに関するものなので、pickle プロトコルを探すと役立つかもしれません。 参考: https://rushter.com/blog/pickle-serialization-internals/

このPOCの仕組み

選択したバージョン: pytorch 2.5.0

このPOCはまず悪意のあるtarファイルを生成します。ファイル名 "storages" は pytorch によって要求されることに注意してください。その後、tarファイルをロードして脆弱性をトリガーします。

さらなる目標

現在、tarファイルは安全でないモードで実行可能です。次のステップは、セキュリティ保護を有効にして、次のように検証をバイパスすることです。