CVE-2022-0845

De code-injectie kwetsbaarheid in pytorch-lightning maakt het mogelijk voor een aanvaller om willekeurige code uit te voeren met de privileges van de applicatie die pytorch-lightning gebruikt. Dit kan leiden tot volledige controle over het systeem, inclusief toegang tot gevoelige gegevens, installatie van malware en het compromitteren van andere systemen in hetzelfde netwerk. Afhankelijk van de context waarin pytorch-lightning wordt gebruikt, kan de impact aanzienlijk zijn, met name in omgevingen waar machine learning modellen worden getraind en ingezet. Een succesvolle exploitatie kan vergelijkbaar zijn met scenario's waarbij een aanvaller toegang krijgt tot de trainingsdata of de ingezette modellen kan manipuleren.

Organizations and individuals utilizing PyTorch Lightning for machine learning model training and deployment are at risk, particularly those using older versions (≤1.5.10.post0). This includes researchers, data scientists, and DevOps engineers working with PyTorch-based projects. Shared hosting environments where PyTorch Lightning is deployed could also be vulnerable if multiple users share the same environment and one user can inject malicious code.

• python / supply-chain:

import subprocess
result = subprocess.run(['pip', 'show', 'pytorch-lightning'], capture_output=True, text=True)
if 'Version' in result.stdout and result.stdout.splitlines()[2].startswith('1.5.'): 
    print('Vulnerable version detected!')

• python / server: Review PyTorch Lightning configuration files for any unusual or unexpected code snippets. • generic web: Inspect PyTorch Lightning model deployment pipelines for potential injection points.

1. 2022-03-05Disclosure

   disclosure

1. Gereserveerd2022-03-03
2. Gepubliceerd2022-03-05
3. Gewijzigd2025-10-09
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2022-0845 is het upgraden naar pytorch-lightning versie 1.6.0 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van strikte input validatie en sanitatie op alle data die naar pytorch-lightning wordt gestuurd. Controleer de code op verdachte patronen die code-injectie mogelijk maken. Gebruik een Web Application Firewall (WAF) om verdachte verzoeken te blokkeren. Na de upgrade, verifieer de fix door te proberen de kwetsbare code uit te voeren en te controleren of deze nu wordt geblokkeerd.