漏洞概述

CVE-2025-54951是ExecuTorch框架中一系列相关的缓冲区溢出漏洞，这些漏洞存在于模型加载过程中。攻击者可以利用这些漏洞导致运行时崩溃，并可能实现代码执行或其他恶意效果。

技术细节

受影响组件

• Python包 (pip): executorch < 0.7.0
• Swift包: executorch < 0.7.0
• Android包 (Maven): org.pytorch:executorch-android < 0.7.0

漏洞类型

堆缓冲区溢出 (CWE-122)

• 漏洞位置：堆内存分配区域
• 触发条件：加载恶意构造的ExecuTorch模型文件
• 影响范围：ExecuTorch框架在commit cea9b23aa8ff78aff92829a466da97461cc7930c之前的所有版本

安全评分

CVSS v3.1评分: 9.8 (严重)

• 攻击向量：网络(Network)
• 攻击复杂度：低(Low)
• 所需权限：无(None)
• 用户交互：无(None)
• 影响范围：未改变(Unchanged)
• 机密性影响：高(High)
• 完整性影响：高(High)
• 可用性影响：高(High)

修复方案

已修复版本：0.7.0

• 相关修复commit: cea9b23aa8ff78aff92829a466da97461cc7930c

参考信息

• NVD漏洞数据库：https://nvd.nist.gov/vuln/detail/CVE-2025-54951
• Facebook安全公告：https://www.facebook.com/security/advisories/cve-2025-54951
• GitHub安全通告ID：GHSA-xc7w-r669-48pf

漏洞发现

该漏洞由安全研究员Fidget-Grep发现并报告。