CVE-2024-5480: PyTorch'un torch.distributed.rpc Çerçevesindeki Uzaktan Kod Yürütme Güvenlik Açığı
7 Haziran 2024
PyTorch'un torch.distributed.rpc çerçevesinde, 2.2.2'den önceki sürümleri etkileyen kritik bir uzaktan kod yürütme (RCE) güvenlik açığı belirlendi. Bu güvenlik açığı, saldırganların çoklu işlemcili RPC iletişimi sırasında eval gibi yerleşik Python işlevlerinden yararlanarak rastgele komutlar yürütmesine olanak tanır. Sorun, bir çalışan düğümün seri hale getirip ana düğüme bir Python Kullanıcı Tanımlı İşlev (PythonUDF) göndermesi ve daha sonra seri durumdan çıkarılıp işlevi doğrulama olmadan yürütmesi durumunda işlev çağrılarında kısıtlama olmamasından kaynaklanmaktadır. Bu kusur, dağıtılmış eğitimi başlatan ana düğümleri tehlikeye atmak için kullanılabilir ve potansiyel olarak yapay zeka ile ilgili hassas verilerin çalınmasına yol açabilir.
Arka plan
torch.distributed.rpc çerçevesi, çalışan düğümler ile ana düğüm arasındaki iletişimi kolaylaştırmak için dağıtılmış eğitim senaryolarında kullanılır. Çerçeve, RPC işlemlerini verimli bir şekilde gerçekleştirecek şekilde tasarlanmıştır, ancak bu işlemler sırasında çağrılan işlevlerin doğru şekilde doğrulanmasından yoksundur. Bu gözetim, saldırganların eval gibi yerleşik Python işlevlerinden yararlanarak rastgele komutlar yürütmesine olanak tanır.
Güvenlik Açığı Ayrıntıları
Güvenlik açığı aşağıdaki olaylar dizisinden kaynaklanır:
Serileştirme ve Gönderme: Bir çalışan düğüm serileştirir ve ana düğüme bir PythonUDF gönderir.
Seri durumdan çıkarma ve yürütme: Ana düğüm, PythonUDF'yi doğrulama olmadan seri durumdan çıkarır ve çalıştırır.
Bu olay dizisi, saldırganların eval gibi yerleşik Python işlevlerini içeren kötü amaçlı bir PythonUDF oluşturarak rasgele komutlar yürütmesine olanak tanır. Eval işlevi, uzaktan kod yürütülmesine yol açabilecek rastgele kod yürütmek için kullanılabilir.
Seneryo
Bu güvenlik açığının etkisi önemlidir çünkü dağıtılmış eğitimi başlatan ana düğümlerin güvenliğini ihlal etmek için kullanılabilir. Bu potansiyel olarak model ağırlıkları, eğitim verileri ve diğer gizli bilgiler dahil olmak üzere yapay zeka ile ilgili hassas verilerin çalınmasına yol açabilir.
Azaltma
Bu güvenlik açığını azaltmak için kullanıcıların PyTorch'un gerekli düzeltmeleri içeren en son sürümüne (2.2.2 veya üstü) yükseltmeleri önerilir. Ek olarak kullanıcılar, dağıtılmış eğitim ortamlarının ana düğüme yetkisiz erişimi önleyecek şekilde uygun şekilde yapılandırıldığından emin olmalıdır.
Çözüm
CVE-2024-5480 güvenlik açığı, dağıtılmış eğitim senaryolarında RPC işlemleri sırasında işlevlerin doğru şekilde doğrulanmasının ve doğrulanmasının önemini vurgulamaktadır. Geliştiricilerin ve kullanıcıların bu tür güvenlik açıklarından yararlanılmasını önlemek için en son güvenlik yamaları ve en iyi uygulamalar konusunda güncel kalmaları çok önemlidir.
CVE-2024-5480'i düzeltmek için PyTorch kurulumuma nasıl yama yapabilirim
PyTorch kurulumunuza yama yapmak ve CVE-2024-5480'i düzeltmek için PyTorch 2.2.2 veya sonraki bir sürüme yükseltmeniz gerekir. Güvenlik açığı 2.2.2'nin önceki sürümlerini etkiliyor.
PyTorch'u yükseltme adımları şunlardır:
1. Terminalinizi veya komut isteminizi açın.
2. PyTorch'un en son sürümünü yüklemek için aşağıdaki komutu çalıştırın:
pip install --upgrade torch
3. Aşağıdakileri çalıştırarak yüklü sürümü doğrulayın:
python -c
import torch;
print (torch.__version__)
Çıktıda, güvenlik açığının yamandığını belirten 2.2.2 veya üzeri sürüm görüntülenmelidir.
Dağıtılmış eğitim ortamlarınızı CVE-2024-5480'in olası istismarından korumak için PyTorch'u mümkün olan en kısa sürede yükseltmek çok önemlidir. Güvenlik açığı, saldırganların çoklu işlemcili RPC iletişimi sırasında eval gibi yerleşik Python işlevlerinden yararlanarak rastgele komutlar yürütmesine olanak tanıyor.
En son sürüme yükselterek PyTorch kurulumunuzun güvenli olduğundan ve torch.distributed.rpc çerçevesinin RPC işlemleri sırasında çağrılan işlevleri doğru şekilde doğruladığından emin olacaksınız.