CVE-2024-48063(linuxfoundation / pytorch)

字节没有那么菜，他的同事们也不是傻子。 如果通过代码commit进去的，早就被发现了。 他这个大部分的破坏行为并不是通过commit的方式直接checkin的。而是直接登陆生产环境机器直接改本地代码的方式，或者利用pytorch 漏洞自己注入攻击代码方式来攻击的。是黑客行为。 这还有个CVE专门记录这个RCE 漏洞的。 CVE-2024-48063 是开源机器学习框架 PyTorch 的一个高危远程代码执行（RCE）漏洞，CVSS 评分为 9.8（最高等级危险）。 [1] 漏洞概述 •漏洞类型：反序列化远程代码执行 (RCE) / 缺乏鉴权机制 •成因：在 PyTorch 的分布式 RPC（远程过程调用）框架中，RemoteModule 在反序列化过程中没有对输入数据进行适当的验证或清理。攻击者可通过客户端将带有恶意方法的 RemoteModule 实例序列化并通过 RPC 发送到服务端，触发反序列化后可在服务端执行任意代码，可能干扰分布式训练集群。 •争议说明：部分意见认为，该行为属于 PyTorch 分布式计算的“预期设计”，但这在实际集群环境中带来了严重的未授权访问与代码执行隐患。 这小子利用这个漏洞，攻击了字节的训练集群。 所以，字节对他还行，没有起诉他破坏计算机系统罪。这个完全够的上，主观，恶意，破坏。