CVE-2025-65891
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W OneFlow v0.9.0 wykryto podatność polegającą na braku walidacji identyfikatora urządzenia GPU. Atakujący może wywołać odmowę usługi (DoS) poprzez przekazanie nieprawidłowego lub ujemnego indeksu urządzenia do funkcji flow.cuda.get_device_properties().
Ocena ryzyka
Ryzyko polega na możliwości zdalnego lub lokalnego wywołania awarii systemu, co prowadzi do przerwania działania aplikacji korzystających z OneFlow i potencjalnej utraty dostępności usług.
Rekomendacja
Należy zaktualizować OneFlow do najnowszej wersji zawierającej poprawkę walidacji indeksu urządzenia GPU. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji flow.cuda.get_device_properties() dla niezaufanych użytkowników.
Inne podatności w OneFlow
Zobacz wszystkie- CVE-2025-71001Średnie
W OneFlow v0.9.0 w komponencie flow.column_stack występuje naruszenie segmentacji, które może być wykorzystane przez atakującego do spowodowania odmowy usługi (DoS) poprzez spreparowane wejście.
- CVE-2025-71000Wysokie
Podatność w komponencie flow.cuda.BoolTensor biblioteki OneFlow w wersji v0.9.0 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.
- CVE-2025-70999Wysokie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność w funkcji flow.cuda.get_device_capability(), która nieprawidłowo waliduje identyfikatory urządzeń GPU. Atakujący może wykorzystać spreparowany identyfikator urządzenia, powodując odmowę usługi (DoS).
- CVE-2025-65890Wysokie
W OneFlow v0.9.0 wykryto podatność w walidacji identyfikatora urządzenia. Atakujący może wywołać Denial of Service (DoS) poprzez wywołanie funkcji flow.cuda.synchronize() z nieprawidłowym lub spoza zakresu indeksem GPU.
- CVE-2025-65889Wysokie
Wada walidacji typów w komponencie flow.dstack() w OneFlow v0.9.0 umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.
- CVE-2025-65888Wysokie
W bibliotece OneFlow 0.9.0 w komponencie flow.empty() występuje błąd walidacji wymiarów, który umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez podanie ujemnej lub zbyt dużej wartości wymiaru.
- CVE-2025-65887Średnie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na dzieleniu przez zero w komponencie flow.floor_divide(). Atakujący może wykorzystać spreparowany tensor wejściowy zawierający zero, co prowadzi do awarii i odmowy usługi (DoS).
- CVE-2025-65886Wysokie
W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na niezgodności kształtów tensorów. Atakujący może wykorzystać tę lukę, dostarczając spreparowane kształty tensorów, co prowadzi do odmowy usługi (DoS).
- CVE-2025-63397Średnie
W OneFlow v0.9.0 stwierdzono nieprawidłową walidację danych wejściowych, która umożliwia atakującym wywołanie błędu segmentacji poprzez dodanie sekwencji Pythona do kodu natywnego podczas operacji broadcastowania lub konwersji typów.
Oryginalny opis (angielski, źródło NVD)
A GPU device-ID validation flaw in OneFlow v0.9.0 allows attackers to trigger a Denial of Dervice (DoS) by invoking flow.cuda.get_device_properties() with an invalid or negative device index.