「PyTorch」に脆弱性 - セキュリティ設定有効化でもRCEのおそれ

機械学習ライブラリである「PyTorch」に脆弱性があきらかとなった。セキュリティ上のリスクを低減するオプションを有効化している場合も影響があるとして注意が呼びかけられている。

「torch.load」関数において信頼できないデータをデシリアライズし、リモートよりコードを実行されるおそれのある脆弱性「CVE-2025-32434」が明らかとなったもの。

安全に利用するため、読み込み時に「モデルの重み」のみを参照し、構造などについては無視するようにオプションを有効化していた場合も、コードを実行されるおそれがあるという。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv4.0」におけるベーススコアを「9.3」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

開発チームでは、現地時間2025年4月18日付で問題を修正した「PyTorch 2.6.0」を公開。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/04/22 ）ツイート