PT-2021-21771 · Google · Tensorflow

CVE-2021-37655

·

Publicado

2021-08-12

·

Atualizado

2024-03-06

CVSS v3.1

7.3

Alta

VetorAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H
Nome do software vulnerável e versões afetadas
Versões do TensorFlow anteriores à 2.6.0
Versões do TensorFlow 2.5.1 e anteriores
Versões do TensorFlow 2.4.3 e anteriores
Versões do TensorFlow 2.3.4 e anteriores
Descrição
Um invasor pode provocar uma leitura fora dos limites dos dados alocados na pilha enviando argumentos inválidos para tf.raw ops.ResourceScatterUpdate. A implementação possui uma validação incompleta da relação entre as formas de indices e updates; em vez de verificar se a forma de indices é um prefixo da forma de updates, o código verifica apenas se o número de elementos nesses dois tensores está em uma relação de divisibilidade.
Recomendações
Para versões anteriores à 2.6.0, atualize para o TensorFlow 2.6.0 ou posterior.
Para versões 2.5.1 e anteriores, atualize para o TensorFlow 2.5.1 ou posterior.
Para versões 2.4.3 e anteriores, atualize para o TensorFlow 2.4.3 ou posterior.
Para versões 2.3.4 e anteriores, atualize para o TensorFlow 2.3.4 ou posterior.
Como solução alternativa temporária, considere restringir o uso de tf.raw ops.ResourceScatterUpdate até que um patch esteja disponível.
Evite usar argumentos inválidos para tf.raw ops.ResourceScatterUpdate até que o problema seja resolvido.

Correção

Out of bounds Read

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-TENSORFLOW-2021-37655
CVE-2021-37655
GHSA-7FVX-3JFC-2CPC
OPENSUSE-SU-2022:10014-1
OPENSUSE-SU-2024:12116-1
PYSEC-2021-277
PYSEC-2021-568
PYSEC-2021-766

Produtos afetados

Tensorflow