PT-2021-18279 · Google · Tensorflow

Yakun Zhang + 1 · Publicado 2021-05-14 · Atualizado 2024-03-06 · CVE-2021-29528

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

**Nome do software vulnerável e versões afetadas:

Versões do TensorFlow anteriores à 2.5.0

Versões do TensorFlow 2.4.2 e anteriores

Versões do TensorFlow 2.3.3 e anteriores

Versões do TensorFlow 2.2.3 e anteriores

Versões do TensorFlow 2.1.4 e anteriores

Descrição:

Um invasor pode provocar uma divisão por 0 em tf.raw ops.QuantizedMul. Isso ocorre porque a implementação realiza uma divisão por uma quantidade controlada pelo chamador. A vulnerabilidade pode ser explorada passando valores específicos para a função tf.raw ops.QuantizedMul, como tensores vazios ou tensores com valores específicos.

Recomendações:

Para versões do TensorFlow anteriores à 2.5.0, atualize para o TensorFlow 2.5.0 ou posterior.

Para versões do TensorFlow 2.4.2 e anteriores, atualize para o TensorFlow 2.4.2 ou posterior.

Para versões do TensorFlow 2.3.3 e anteriores, atualize para o TensorFlow 2.3.3 ou posterior.

Para versões do TensorFlow 2.2.3 e anteriores, atualize para o TensorFlow 2.2.3 ou posterior.

Para versões do TensorFlow 2.1.4 e anteriores, atualize para o TensorFlow 2.1.4 ou posterior.

Como solução alternativa temporária, considere evitar o uso da função tf.raw ops.QuantizedMul até que um patch esteja disponível.

Exploit

Correção

Divide By Zero

Enumeração de Fraquezas

CWE-369

Identificadores relacionados

BIT-TENSORFLOW-2021-29528

CVE-2021-29528

GHSA-6F84-42VF-PPWP

PYSEC-2021-165

PYSEC-2021-456

PYSEC-2021-654

Produtos afetados

Tensorflow

Referências · 13

• 🔥 https://github.com/tensorflow/tensorflow/security/advisories/GHSA-6f84-42vf-ppwp · Exploit
• https://github.com/tensorflow/tensorflow/commit/a1b11d2fdd1e51bfe18bb1ede804f60abfa92da6 · Correção
• https://github.com/tensorflow/tensorflow · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-gpu/PYSEC-2021-654.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow/PYSEC-2021-165.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-cpu/PYSEC-2021-456.yaml · Nota
• https://osv.dev/vulnerability/CVE-2021-29528 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-654 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-165 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-29528 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-456 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-tensorflow-2021-29528 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6f84-42vf-ppwp · Aviso do Fabricante