ExecuTorch整数溢出漏洞·CVE-2025-30404

漏洞详情

包管理器与受影响包

• pip: executorch (PyPI)
• Swift: executorch
• Maven: org.pytorch:executorch-android

受影响版本 所有版本号低于 0.7.0 的ExecuTorch。

已修复版本 0.7.0 及更高版本。

描述 ExecuTorch在加载模型时存在一个整数溢出漏洞。该漏洞可能导致内存分配重叠，进而可能引发代码执行或其他不良后果。此问题影响提交 d158236b1dc84539c1b16843bc74054c9dcba006 之前的所有ExecuTorch版本。

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-30404
• pytorch/executorch@d158236
• https://www.facebook.com/security/advisories/cve-2025-30404

发布时间线

• 国家漏洞数据库 (NVD) 发布时间：2025年8月7日
• GitHub安全公告数据库发布时间：2025年8月8日
• 审查时间：2025年8月12日
• 最后更新时间：2025年10月6日

严重程度

严重性等级：严重 CVSS总体评分：9.8 / 10

CVSS v3 基础指标

• 攻击向量 (AV): 网络 (N)
• 攻击复杂度 (AC): 低 (L)
• 所需权限 (PR): 无 (N)
• 用户交互 (UI): 无 (N)
• 影响范围 (S): 未改变 (U)
• 机密性影响 (C): 高 (H)
• 完整性影响 (I): 高 (H)
• 可用性影响 (A): 高 (H)

CVSS向量字符串 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS评分 0.104% (第29百分位)

弱点归类 CWE-ID: CWE-190 弱点名称: 整数溢出或回绕 描述: 当产品执行的计算可能产生整数溢出或回绕，而逻辑假设结果值总是大于原始值时，就会发生此问题。当该计算用于资源管理或执行控制时，可能引发其他弱点。

标识符

• CVE ID: CVE-2025-30404
• GHSA ID: GHSA-hj95-mhgf-jxc4

源代码仓库 pytorch/executorch

致谢 发现者/分析师: Fidget-Grep