CVE-2025-32434

説明

技術的詳細

脆弱性のエントリポイントは torch/serialization.py の load() です

保護（weights_only）が有効な場合: tarファイルをロードすると、以下の関数が連鎖的に呼び出されます:

1. load(): torch/serialization.py:1117
2. _load_legacy(): torch/serialization.py:1376 to torch/serialization.py:1406
3. persistent_load(): torch/serialization.py:1474
4. pickle_moudle.load(): torch/serialization.py:1487
5. Unpickler.load(): torch/_weights_only_unpickler.py:214

weights_only_unpickler モードでは、すべて pickle のデシリアライゼーションに関するものなので、pickle プロトコルを探すと役立つかもしれません。 参考: https://rushter.com/blog/pickle-serialization-internals/

このPOCの仕組み

選択したバージョン: pytorch 2.5.0

このPOCはまず悪意のあるtarファイルを生成します。ファイル名 "storages" は pytorch によって要求されることに注意してください。その後、tarファイルをロードして脆弱性をトリガーします。

さらなる目標

現在、tarファイルは安全でないモードで実行可能です。次のステップは、セキュリティ保護を有効にして、次のように検証をバイパスすることです。

_pickle.UnpicklingError: Unsupported global: GLOBAL __builtin__.eval was not an allowed global by default. Please use `torch.serialization.add_safe_globals([eval])` to allowlist this global if you trust this class/function.