CVE-2022-0845

L'impact de cette vulnérabilité est significatif. Un attaquant peut exploiter cette injection de code pour exécuter des commandes système malveillantes, accéder à des données sensibles stockées ou traitées par pytorch-lightning, et potentiellement prendre le contrôle complet du système. Le code injecté pourrait être utilisé pour voler des modèles d'apprentissage automatique, modifier les données d'entraînement, ou même lancer des attaques contre d'autres systèmes connectés. Bien qu'il n'y ait pas de cas d'exploitation publique connus à ce jour, la sévérité élevée de la vulnérabilité et sa nature critique justifient une attention immédiate.

Organizations and individuals utilizing PyTorch Lightning for machine learning model training and deployment are at risk, particularly those using older versions (≤1.5.10.post0). This includes researchers, data scientists, and DevOps engineers working with PyTorch-based projects. Shared hosting environments where PyTorch Lightning is deployed could also be vulnerable if multiple users share the same environment and one user can inject malicious code.

• python / supply-chain:

import subprocess
result = subprocess.run(['pip', 'show', 'pytorch-lightning'], capture_output=True, text=True)
if 'Version' in result.stdout and result.stdout.splitlines()[2].startswith('1.5.'): 
    print('Vulnerable version detected!')

• python / server: Review PyTorch Lightning configuration files for any unusual or unexpected code snippets. • generic web: Inspect PyTorch Lightning model deployment pipelines for potential injection points.

1. 2022-03-05Disclosure

   disclosure

1. Réservé2022-03-03
2. Publiée2022-03-05
3. Modifiée2025-10-09
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour pytorch-lightning vers la version 1.6.0 ou supérieure. Si la mise à jour n'est pas immédiatement possible, envisagez de désactiver temporairement les fonctionnalités de pytorch-lightning qui pourraient être vulnérables. En l'absence de mise à jour immédiate, une analyse rigoureuse du code source et des dépendances pourrait aider à identifier et à atténuer les risques potentiels. Il n'existe pas de règles WAF ou de signatures Sigma spécifiques connues pour cette vulnérabilité, mais une surveillance accrue des processus et des connexions réseau est recommandée.