CVE-2025-62609

WysokieCVSS 7.5

Opublikowano: 21/11/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

MLX to framework tablicowy do uczenia maszynowego na Apple silicon. Przed wersją 0.29.4 występuje błąd segmentacji w mlx::core::load_gguf() podczas ładowania złośliwych plików GGUF. Niezaufany wskaźnik z zewnętrznej biblioteki gguflib jest dereferencjonowany bez walidacji, powodując awarię aplikacji. Podatność została naprawiona w wersji 0.29.4.

Ocena ryzyka

Złośliwy plik GGUF może spowodować awarię aplikacji wykorzystującej MLX, prowadząc do odmowy usługi. Ryzyko dotyczy środowisk przetwarzających niezaufane pliki modeli.

Rekomendacja

Zaktualizuj MLX do wersji 0.29.4 lub nowszej. Unikaj ładowania plików GGUF z niezaufanych źródeł.

Inne podatności w MLX

CVE-2025-62608Krytyczne
MLX, framework do uczenia maszynowego dla układów Apple, przed wersją 0.29.4 zawiera przepełnienie bufora sterty w funkcji mlx::core::load() podczas parsowania złośliwych plików NumPy .npy. Plik kontrolowany przez atakującego powoduje odczyt poza zakresem o 13 bajtów, co prowadzi do awarii lub ujawnienia informacji.

Oryginalny opis (angielski, źródło NVD)

MLX is an array framework for machine learning on Apple silicon. Prior to version 0.29.4, there is a segmentation fault in mlx::core::load_gguf() when loading malicious GGUF files. Untrusted pointer from external gguflib library is dereferenced without validation, causing application crash. This issue has been patched in version 0.29.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS