CVE-2025-71001

Podatność w komponencie flow.cuda.BoolTensor biblioteki OneFlow w wersji v0.9.0 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

W bibliotece OneFlow w wersji 0.9.0 wykryto podatność w funkcji flow.cuda.get_device_capability(), która nieprawidłowo waliduje identyfikatory urządzeń GPU. Atakujący może wykorzystać spreparowany identyfikator urządzenia, powodując odmowę usługi (DoS).

W OneFlow v0.9.0 wykryto podatność polegającą na braku walidacji identyfikatora urządzenia GPU. Atakujący może wywołać odmowę usługi (DoS) poprzez przekazanie nieprawidłowego lub ujemnego indeksu urządzenia do funkcji flow.cuda.get_device_properties().

W OneFlow v0.9.0 wykryto podatność w walidacji identyfikatora urządzenia. Atakujący może wywołać Denial of Service (DoS) poprzez wywołanie funkcji flow.cuda.synchronize() z nieprawidłowym lub spoza zakresu indeksem GPU.

Wada walidacji typów w komponencie flow.dstack() w OneFlow v0.9.0 umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

W bibliotece OneFlow 0.9.0 w komponencie flow.empty() występuje błąd walidacji wymiarów, który umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez podanie ujemnej lub zbyt dużej wartości wymiaru.

W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na dzieleniu przez zero w komponencie flow.floor_divide(). Atakujący może wykorzystać spreparowany tensor wejściowy zawierający zero, co prowadzi do awarii i odmowy usługi (DoS).

W bibliotece OneFlow w wersji 0.9.0 wykryto podatność polegającą na niezgodności kształtów tensorów. Atakujący może wykorzystać tę lukę, dostarczając spreparowane kształty tensorów, co prowadzi do odmowy usługi (DoS).

W OneFlow v0.9.0 stwierdzono nieprawidłową walidację danych wejściowych, która umożliwia atakującym wywołanie błędu segmentacji poprzez dodanie sekwencji Pythona do kodu natywnego podczas operacji broadcastowania lub konwersji typów.