漏洞概述

CVE-2025-30404 是一个在ExecuTorch模型加载过程中发现的整数溢出漏洞，该漏洞被评定为严重级别，CVSS评分为9.8分。

受影响组件

Python包 (pip)

• 包名：executorch
• 受影响版本：< 0.7.0
• 已修复版本：0.7.0

Swift包

• 包名：executorch
• 受影响版本：< 0.7.0
• 已修复版本：0.7.0

Maven包

• 包名：org.pytorch:executorch-android
• 受影响版本：< 0.7.0
• 已修复版本：0.7.0

技术细节

漏洞描述

该整数溢出漏洞存在于ExecuTorch模型加载过程中，可导致内存分配重叠，可能造成代码执行或其他不良后果。此问题影响提交记录 d158236b1dc84539c1b16843bc74054c9dcba006 之前的所有ExecuTorch版本。

安全指标

• CVSS v3.1 基准指标：AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• EPSS评分：0.104%（第29百分位）

弱点分类

• CWE标识：CWE-190
• 弱点类型：整数溢出或回绕
• 描述：产品执行的计算可能产生整数溢出或回绕，当逻辑假设结果值始终大于原始值时，可能引入其他弱点。

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-30404
• pytorch/executorch@d158236
• https://www.facebook.com/security/advisories/cve-2025-30404

时间线

• 国家漏洞数据库发布：2025年8月7日
• GitHub咨询数据库发布：2025年8月8日
• 审核时间：2025年8月12日
• 最后更新：2025年10月6日