La asociación CERT de BSI advierte de una vulnerabilidad en PyTorch que se produce durante el entrenamiento distribuido de modelos. El marco de aprendizaje automático de código abierto iniciado por Meta aparentemente ejecuta código Python enviado por nodos trabajadores en el nodo maestro sin marcar.
anuncio
Dirige el servicio de alerta e información del CERT-Bund. La vulnerabilidad es como WID-SEC-2024-1323. Con las puntuaciones CVSS más altas 10de ahí el riesgo Muy importante. La vulnerabilidad está en la base de datos de vulnerabilidades del NIST. Listado como CVE-2024-5480.
No es posible determinar exactamente qué versiones de los informes se ven afectadas. NIST habla específicamente de versiones anteriores a 2.2.2 y BSI habla de versiones anteriores a 2.2.3. en Notas oficiales de la versión No hay ninguna referencia explícita para corregir los errores asociados en la versión 2.2.2 o 2.3.
No verificar llamadas a procedimientos remotos
La vulnerabilidad ha sido encontrada. En un marco RPC distribuido torch.distributed.rpc Por ByTorch. Permite la implementación de llamadas a procedimientos remotos (RPC), entre otras cosas, para el entrenamiento distribuido de modelos.
Los nodos trabajadores pueden serializar llamadas a funciones privadas como funciones definidas por el usuario (UDF) y enviarlas al nodo maestro, que las deserializa y ejecuta. Dado que el marco aparentemente no verifica las funciones antes de la ejecución, es adecuado para la inyección de comandos (CWE-77) susceptible.
Si el atacante tiene acceso al nodo trabajador, puede usar cualquier función similar a Python eval Se pasa al nodo maestro, que lo llama. eval A su vez, transfiere la expresión pasada como parámetro de cadena a un comando de Python y lo ejecuta.
en Plataforma de recompensas por errores Hay un exploit de prueba de concepto. Incluso si el código solo consulta la dirección IP del nodo maestro, el artículo señala que de esta manera se puede acceder a datos confidenciales del nodo maestro.
(Romano)
Alejandro Fuentes es colaborador de Corsaonline.com.ar, donde cubre noticias de actualidad, política, negocios, tecnología, deportes, entretenimiento y estilo de vida. Su trabajo se centra en ofrecer información clara, relevante y fácil de comprender, ayudando a los lectores a mantenerse al día con los temas que impactan la vida cotidiana. Con un enfoque en la precisión, el contexto y la utilidad informativa, sigue de cerca los acontecimientos más recientes y las historias que generan interés en la audiencia.
More Stories
OpenAI presenta Jalapeño, su primer chip propio para impulsar una nueva generación de inteligencia artificial
Nuevos detalles revelan el alcance del remake de The Legend of Zelda: Ocarina of Time para Nintendo Switch 2
HONOR Pad 10: pantalla de 12,1 pulgadas, gran autonomía y precio competitivo en la gama media