【高危漏洞】CVE-2023-43654 TorchServe SSRF 漏洞

漏洞名称：CVE-2023-43654 TorchServe SSRF 漏洞

漏洞出现时间：2023年9月26日

影响等级：高危

影响版本：

- 0.82

漏洞说明：

    TorchServe是一种在生产中为PyTorch模型提供服务和扩展的工具。TorchServe默认配置缺少正确的输入验证，使第三方能够调用远程HTTP下载请求并将文件写入磁盘。可以利用这个问题来损害系统和敏感数据的完整性。此问题存在于0.1.0至0.8.1版本中。用户可以从他们想要使用的任何URL加载他们选择的模型。TorchServe的用户负责配置allowed_URL并指定要使用的模型URL。当使用allowed_urls的默认值时，警告用户的拉取请求已在PR#2534中合并。TorchServe 0.8.2版本包含此更改。建议用户升级。这个问题没有已知的解决方法。

修复方式：

• 升级置最新版本
  

相关链接：

• https://nvd.nist.gov/vuln/detail/CVE-2023-43654
  

最快的威胁情报，最全的漏洞评估

Tips

torchserve是Pytorch(Facebook)和Amazon于2020年联合推出的PYtorch模型服务库,可使大规模部署经过训练的 PyTorch 更加轻松,不需要编写自定义代码。