CVE-2022-0845

此代码注入漏洞的潜在影响非常严重。攻击者可以通过精心构造的输入，在 pytorch-lightning 运行时执行任意代码。这可能导致攻击者读取敏感数据、修改系统配置、安装恶意软件，甚至完全控制受影响的系统。由于 pytorch-lightning 广泛应用于机器学习模型训练和部署，该漏洞可能影响大量用户和应用。攻击者可以利用此漏洞窃取训练数据、模型权重，甚至篡改模型结果，造成严重的经济损失和声誉损害。

Organizations and individuals utilizing PyTorch Lightning for machine learning model training and deployment are at risk, particularly those using older versions (≤1.5.10.post0). This includes researchers, data scientists, and DevOps engineers working with PyTorch-based projects. Shared hosting environments where PyTorch Lightning is deployed could also be vulnerable if multiple users share the same environment and one user can inject malicious code.

• python / supply-chain:

import subprocess
result = subprocess.run(['pip', 'show', 'pytorch-lightning'], capture_output=True, text=True)
if 'Version' in result.stdout and result.stdout.splitlines()[2].startswith('1.5.'): 
    print('Vulnerable version detected!')

• python / server: Review PyTorch Lightning configuration files for any unusual or unexpected code snippets. • generic web: Inspect PyTorch Lightning model deployment pipelines for potential injection points.

1. 2022-03-05Disclosure

   disclosure

1. 已保留2022-03-03
2. 发布日期2022-03-05
3. 修改日期2025-10-09
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 pytorch-lightning 1.6.0 或更高版本。如果升级会破坏现有系统，可以考虑回滚到之前的稳定版本，并实施额外的安全措施。此外，建议对输入数据进行严格的验证和过滤，以防止恶意代码注入。可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来检测和阻止恶意请求。监控 pytorch-lightning 的日志文件，查找可疑活动，例如未授权的代码执行。