CVE-2024-5480

Una vulnerabilidad en el framework torch.distributed.rpc de PyTorch, específicamente en versiones anteriores a la 2.2.2, permite la ejecución remota de código (RCE). El framework, que se utiliza en escenarios de capacitación distribuida, no verifica adecuadamente las funciones que se llaman durante las operaciones RPC (llamada a procedimiento remoto). Esta supervisión permite a los atacantes ejecutar comandos arbitrarios aprovechando las funciones integradas de Python, como la evaluación, durante la comunicación RPC entre múltiples CPU. La vulnerabilidad surge de la falta de restricción en las llamadas a funciones cuando un nodo trabajador serializa y envía una PythonUDF (función definida por el usuario) al nodo maestro, que luego deserializa y ejecuta la función sin validación. Esta falla puede explotarse para comprometer los nodos maestros que inician el entrenamiento distribuido, lo que podría conducir al robo de datos confidenciales relacionados con la IA.