CVE-2025-32434

Описание

Технические детали

Точка входа уязвимости — load() в torch/serialization.py

когда защита (weights_only) включена: загрузка tar-файла вызывает следующие функции по цепочке:

1. load(): torch/serialization.py:1117
2. _load_legacy(): torch/serialization.py:1376 до torch/serialization.py:1406
3. persistent_load(): torch/serialization.py:1474
4. pickle_moudle.load(): torch/serialization.py:1487
5. Unpickler.load(): torch/_weights_only_unpickler.py:214

В режиме weights_only_unpickler всё сводится к десериализации pickle, поэтому поиск по протоколу pickle может помочь. Ссылка: https://rushter.com/blog/pickle-serialization-internals/

Как работает этот POC

Выбранная версия: pytorch 2.5.0

Этот POC сначала генерирует вредоносный tar-файл, обратите внимание, что имя файла "storages" требуется pytorch, а затем загружает tar-файл для запуска уязвимости.

Дальнейшая цель

Теперь tar-файл исполняем в небезопасном режиме. Следующий шаг — включить защиту и обойти проверку следующим образом:

_pickle.UnpicklingError: Unsupported global: GLOBAL __builtin__.eval was not an allowed global by default. Please use `torch.serialization.add_safe_globals([eval])` to allowlist this global if you trust this class/function.