CVE-2025-62608
KrytyczneStreszczenie
MLX, framework do uczenia maszynowego dla układów Apple, przed wersją 0.29.4 zawiera przepełnienie bufora sterty w funkcji mlx::core::load() podczas parsowania złośliwych plików NumPy .npy. Plik kontrolowany przez atakującego powoduje odczyt poza zakresem o 13 bajtów, co prowadzi do awarii lub ujawnienia informacji.
Ocena ryzyka
Ryzyko obejmuje awarię aplikacji lub wyciek danych, jeśli użytkownik załaduje złośliwy plik .npy, co może być wykorzystane w atakach socjotechnicznych lub dostarczaniu złośliwych plików.
Rekomendacja
Zaleca się aktualizację MLX do wersji 0.29.4 lub nowszej oraz unikanie ładowania plików .npy z niezaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
MLX is an array framework for machine learning on Apple silicon. Prior to version 0.29.4, there is a heap buffer overflow in mlx::core::load() when parsing malicious NumPy .npy files. Attacker-controlled file causes 13-byte out-of-bounds read, leading to crash or information disclosure. This issue has been patched in version 0.29.4.