缺陷信息

缺陷描述

在 SimtComputeHugeDimSeven 函数的边界检查中，dimSevenInIndex5（维度5的输入索引）的边界校验错误地使用了 tD->inShape[6]（维度6的大小）而非 tD->inShape[5]（维度5的大小）。当 inShape[5] > inShape[6] 时，dimSevenInIndex5 可能落在 [inShape[6], inShape[5]) 区间内通过错误的边界检查，但后续使用 dimSevenInIndex5 计算的 inputOffset 会导致 inputGM 越界读取。对比同文件的 SimtComputeHugeDimEight（第345-346行），dimEightInIndex5 正确使用了 tD->inShape[5]，证实此处为复制粘贴错误。

事实核查

核查1(模式成立): 第288-289行边界检查 dimSevenInIndex5 < tD->inShape[6]，应为 inShape[5]，dimSevenInIndex5 是维度5的输入索引(第281行 dimSevenIndex5 - tD->leftPad[5])，对比 SimtComputeHugeDimEight 第346行正确使用 inShape[5]，证实此处为复制粘贴错误，当 inShape[5]>inShape[6] 时 dimSevenInIndex5 落在 [inShape[6],inShape[5]) 区间通过错误检查，后续第300行用 dimSevenInIndex5 计算 inputOffset 访问 inputGM 导致越界读，模式属实。

核查2(防护无效): 该边界检查本身就是错误的(用了 inShape[6])，不存在其他对 dimSevenInIndex5 的有效校验。

核查3(函数可达): entry_callchain 确认 SimtComputeHugeDimSeven 为入口，pad_simt_huge.h 第427行 asc_vf_call 在 mDimNum==7 时调用，PadSimtHuge::Process 经 LaunchKernelPadMirrorSimtHuge(pad_mirror.h 第50行)由 pad_v3 入口(pad_v3_apt.cpp 第88行 REFLECT_SIMT_BIG_SIZE_BRANCH)分发，可达。

核查4(触发可满足): inShape 由用户输入 shape 决定(host 第1106行 tilingData_->inShape[i]=inShapeVal.GetDim(i))，用户可构造 inShape[5]>inShape[6] 的 7 维输入，使 dimSevenInIndex5 落入 [inShape[6],inShape[5]) 区间通过错误检查后越界读 inputGM，触发条件可满足。

缺陷类型为 arrayIndexOutOfBounds 正确。

数据流证据

Source（问题源头）

ops-math-master/conversion/pad_v3/op_kernel/arch35/pad_simt_huge.h:281 行 int64_t dimSevenInIndex5 = dimSevenIndex5 - tD->leftPad[5] 计算维度5的输入索引

Sink（问题爆发点）

ops-math-master/conversion/pad_v3/op_kernel/arch35/pad_simt_huge.h:293-301 行 outputGM[idx] = inputGM[dimSevenInIndex0 * ... * tD->inShape[6] + ... + dimSevenInIndex5 * tD->inShape[6] + dimSevenInIndex6] 当 dimSevenInIndex5 >= inShape[5] 时 inputOffset 超出 inputGM 有效范围

传播路径：

调用链

可达调用链1　起点：(entry functions) → 终点：PadV3::SimtComputeHugeDimSeven　深度：0

修复建议

// 修复: 将 inShape[6] 改为 inShape[5]
// 第288-289行:
// 修改前:
//   dimSevenInIndex5 >= 0 && dimSevenInIndex5 < tD->inShape[6] &&
// 修改后:
//   dimSevenInIndex5 >= 0 && dimSevenInIndex5 < tD->inShape[5] &&

if (dimSevenInIndex6 >= 0 && dimSevenInIndex6 < tD->inShape[6] && dimSevenInIndex5 >= 0 &&
    dimSevenInIndex5 < tD->inShape[5] && dimSevenInIndex4 >= 0 && dimSevenInIndex4 < tD->inShape[4] &&
    dimSevenInIndex3 >= 0 && dimSevenInIndex3 < tD->inShape[3] && dimSevenInIndex2 >= 0 &&
    dimSevenInIndex2 < tD->inShape[2] && dimSevenInIndex1 >= 0 && dimSevenInIndex1 < tD->inShape[1] &&
    dimSevenInIndex0 >= 0 && dimSevenInIndex0 < tD->inShape[0]) {