CVE-2025-63397
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W OneFlow v0.9.0 stwierdzono nieprawidłową walidację danych wejściowych, która umożliwia atakującym wywołanie błędu segmentacji poprzez dodanie sekwencji Pythona do kodu natywnego podczas operacji broadcastowania lub konwersji typów.
Ocena ryzyka
Atakujący może zdalnie spowodować awarię aplikacji (segfault), co prowadzi do przerwania działania usługi (DoS) i potencjalnej utraty dostępności systemu.
Rekomendacja
Należy zaktualizować OneFlow do najnowszej wersji zawierającej poprawkę lub zastosować tymczasowe ograniczenia dotyczące przetwarzania sekwencji Pythona w operacjach broadcastowania/konwersji typów.
Inne podatności w OneFlow
Zobacz wszystkie- CVE-2025-71001Średnie
W OneFlow v0.9.0 w komponencie flow.column_stack występuje naruszenie segmentacji, które może być wykorzystane przez atakującego do spowodowania odmowy usługi (DoS) poprzez spreparowane wejście.
- CVE-2025-71000Wysokie
Podatność w komponencie flow.cuda.BoolTensor biblioteki OneFlow w wersji v0.9.0 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.
- CVE-2025-70999Wysokie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność w funkcji flow.cuda.get_device_capability(), która nieprawidłowo waliduje identyfikatory urządzeń GPU. Atakujący może wykorzystać spreparowany identyfikator urządzenia, powodując odmowę usługi (DoS).
- CVE-2025-65891Wysokie
W OneFlow v0.9.0 wykryto podatność polegającą na braku walidacji identyfikatora urządzenia GPU. Atakujący może wywołać odmowę usługi (DoS) poprzez przekazanie nieprawidłowego lub ujemnego indeksu urządzenia do funkcji flow.cuda.get_device_properties().
- CVE-2025-65890Wysokie
W OneFlow v0.9.0 wykryto podatność w walidacji identyfikatora urządzenia. Atakujący może wywołać Denial of Service (DoS) poprzez wywołanie funkcji flow.cuda.synchronize() z nieprawidłowym lub spoza zakresu indeksem GPU.
- CVE-2025-65889Wysokie
Wada walidacji typów w komponencie flow.dstack() w OneFlow v0.9.0 umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.
- CVE-2025-65888Wysokie
W bibliotece OneFlow 0.9.0 w komponencie flow.empty() występuje błąd walidacji wymiarów, który umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez podanie ujemnej lub zbyt dużej wartości wymiaru.
- CVE-2025-65887Średnie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na dzieleniu przez zero w komponencie flow.floor_divide(). Atakujący może wykorzystać spreparowany tensor wejściowy zawierający zero, co prowadzi do awarii i odmowy usługi (DoS).
- CVE-2025-65886Wysokie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na niezgodności kształtów tensorów. Atakujący może wykorzystać tę lukę, dostarczając spreparowane kształty tensorów, co prowadzi do odmowy usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Improper input validation in OneFlow v0.9.0 allows attackers to cause a segmentation fault via adding a Python sequence to the native code during broadcasting/type conversion.