PT-2021-21770 · Google · Tensorflow
Mihaimaruseac
·
Publicado
2021-08-12
·
Atualizado
2024-03-06
·
CVE-2021-37654
CVSS v3.1
7.3
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H |
Nome do software vulnerável e versões afetadas
Versões do TensorFlow anteriores à 2.6.0
Versões do TensorFlow 2.5.1 e anteriores
Versões do TensorFlow 2.4.3 e anteriores
Versões do TensorFlow 2.3.4 e anteriores
Descrição
Um invasor pode provocar uma falha por meio de uma falha no
CHECK em compilações de depuração do TensorFlow usando tf.raw ops.ResourceGather ou uma leitura fora dos limites dos dados alocados na pilha na mesma API em uma compilação de lançamento. A implementação não verifica se o valor batch dims fornecido pelo usuário é menor que a classificação do tensor de entrada, resultando na leitura de dados fora dos limites do buffer alocado na pilha que sustenta o tensor.Recomendações
Para versões anteriores à 2.6.0, atualize para o TensorFlow 2.6.0 ou posterior.
Para versões 2.5.1 e anteriores, atualize para o TensorFlow 2.5.1 ou posterior.
Para versões 2.4.3 e anteriores, atualize para o TensorFlow 2.4.3 ou posterior.
Para versões 2.3.4 e anteriores, atualize para o TensorFlow 2.3.4 ou posterior.
Como solução temporária, considere restringir o uso de
tf.raw ops.ResourceGather até que um patch esteja disponível.Evite usar o parâmetro
batch dims com valores que não sejam menores que a classificação do tensor de entrada no endpoint da API afetado até que o problema seja resolvido.Correção
Out of bounds Read
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Tensorflow