ExecuTorch越界访问漏洞 · CVE-2025-54950

漏洞详情

包管理器受影响版本：

• pip (executorch): < 0.7.0
• Swift (executorch): < 0.7.0
• Maven (org.pytorch:executorch-android): < 0.7.0

已修复版本： 0.7.0

漏洞描述

ExecuTorch在加载模型时存在越界访问漏洞，可能导致运行时崩溃，并可能造成代码执行或其他不良后果。此漏洞影响提交记录fb03b6f85596a8f954d97929075335255b6a58d4之前的所有ExecuTorch版本。

严重程度

严重等级： 严重 CVSS总体评分： 9.8/10

CVSS v3基础指标

• 攻击向量： 网络
• 攻击复杂度： 低
• 所需权限： 无
• 用户交互： 无
• 范围： 未改变
• 机密性： 高
• 完整性： 高
• 可用性： 高

CVSS向量： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-54950
• pytorch/executorch@fb03b6f
• https://www.facebook.com/security/advisories/cve-2025-54950
• pytorch/executorch@b6b7a16

弱点分类

CWE-125： 越界读取 产品读取数据超出了预期缓冲区的末尾或开头。

标识符

• CVE ID： CVE-2025-54950
• GHSA ID： GHSA-f9hx-c6jf-3qxm

源代码

pytorch/executorch

发布时间： 2025年8月8日 最后更新： 2025年10月6日