CVE-2025-65890
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W OneFlow v0.9.0 wykryto podatność w walidacji identyfikatora urządzenia. Atakujący może wywołać Denial of Service (DoS) poprzez wywołanie funkcji flow.cuda.synchronize() z nieprawidłowym lub spoza zakresu indeksem GPU.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego lub lokalnego zatrzymania działania systemu wykorzystującego bibliotekę OneFlow, co może prowadzić do przerwania pracy aplikacji i utraty dostępności usług.
Rekomendacja
Zaleca się natychmiastową aktualizację OneFlow do najnowszej wersji, która zawiera poprawkę walidacji identyfikatora urządzenia. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji synchronizacji CUDA.
Inne podatności w OneFlow
Zobacz wszystkie- CVE-2025-71001Średnie
W OneFlow v0.9.0 w komponencie flow.column_stack występuje naruszenie segmentacji, które może być wykorzystane przez atakującego do spowodowania odmowy usługi (DoS) poprzez spreparowane wejście.
- CVE-2025-71000Wysokie
Podatność w komponencie flow.cuda.BoolTensor biblioteki OneFlow w wersji v0.9.0 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.
- CVE-2025-70999Wysokie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność w funkcji flow.cuda.get_device_capability(), która nieprawidłowo waliduje identyfikatory urządzeń GPU. Atakujący może wykorzystać spreparowany identyfikator urządzenia, powodując odmowę usługi (DoS).
- CVE-2025-65891Wysokie
W OneFlow v0.9.0 wykryto podatność polegającą na braku walidacji identyfikatora urządzenia GPU. Atakujący może wywołać odmowę usługi (DoS) poprzez przekazanie nieprawidłowego lub ujemnego indeksu urządzenia do funkcji flow.cuda.get_device_properties().
- CVE-2025-65889Wysokie
Wada walidacji typów w komponencie flow.dstack() w OneFlow v0.9.0 umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.
- CVE-2025-65888Wysokie
W bibliotece OneFlow 0.9.0 w komponencie flow.empty() występuje błąd walidacji wymiarów, który umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez podanie ujemnej lub zbyt dużej wartości wymiaru.
- CVE-2025-65887Średnie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na dzieleniu przez zero w komponencie flow.floor_divide(). Atakujący może wykorzystać spreparowany tensor wejściowy zawierający zero, co prowadzi do awarii i odmowy usługi (DoS).
- CVE-2025-65886Wysokie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na niezgodności kształtów tensorów. Atakujący może wykorzystać tę lukę, dostarczając spreparowane kształty tensorów, co prowadzi do odmowy usługi (DoS).
- CVE-2025-63397Średnie
W OneFlow v0.9.0 stwierdzono nieprawidłową walidację danych wejściowych, która umożliwia atakującym wywołanie błędu segmentacji poprzez dodanie sekwencji Pythona do kodu natywnego podczas operacji broadcastowania lub konwersji typów.
Oryginalny opis (angielski, źródło NVD)
A device-ID validation flaw in OneFlow v0.9.0 allows attackers to cause a Denial of Service (DoS) by calling flow.cuda.synchronize() with an invalid or out-of-range GPU device index.