PT-2021-23175 · Google · Tensorflow

Mihaimaruseac · CVE-2021-41203 · Publicado 2021-11-05 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.7.0

Versões do TensorFlow 2.6.1 e anteriores

Versões do TensorFlow 2.5.2 e anteriores

Versões do TensorFlow 2.4.4 e anteriores

Descrição

Um invasor pode provocar comportamento indefinido, estouros de inteiros, falhas de segmentação e travamentos por falha no CHECK se conseguir alterar pontos de verificação salvos de fora do TensorFlow. Isso ocorre porque a infraestrutura de carregamento de pontos de verificação não possui validação para formatos de arquivo inválidos.

Recomendações

Para versões anteriores à 2.7.0, atualize para o TensorFlow 2.7.0 ou posterior.

Para as versões 2.6.1 e anteriores, atualize para o TensorFlow 2.6.1 ou posterior.

Para as versões 2.5.2 e anteriores, atualize para o TensorFlow 2.5.2 ou posterior.

Para as versões 2.4.4 e anteriores, atualize para o TensorFlow 2.4.4 ou posterior.

Como solução alternativa temporária, considere restringir o acesso à infraestrutura de carregamento de pontos de verificação até que um patch esteja disponível.

Correção

Insufficient Verification of Data Authenticity

Integer Overflow

Enumeração de Fraquezas

CWE-345

CWE-190

Identificadores relacionados

BIT-TENSORFLOW-2021-41203

CVE-2021-41203

GHSA-7PXJ-M4JF-R6H2

OPENSUSE-SU-2024:12116-1

PYSEC-2021-396

PYSEC-2021-613

PYSEC-2021-811

Produtos afetados

Tensorflow

Referências · 16

• https://github.com/tensorflow/tensorflow · Nota
• https://github.com/tensorflow/tensorflow/security/advisories/GHSA-7pxj-m4jf-r6h2 · Nota
• https://github.com/tensorflow/tensorflow/commit/368af875869a204b4ac552b9ddda59f6a46a56ec · Correção
• https://github.com/tensorflow/tensorflow/commit/e8dc63704c88007ee4713076605c90188d66f3d2 · Correção
• https://github.com/tensorflow/tensorflow/commit/b619c6f865715ca3b15ef1842b5b95edbaa710ad · Correção
• https://github.com/tensorflow/tensorflow/commit/abcced051cb1bd8fb05046ac3b6023a7ebcc4578 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-gpu/PYSEC-2021-811.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow/PYSEC-2021-396.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-cpu/PYSEC-2021-613.yaml · Nota
• https://osv.dev/vulnerability/GHSA-7pxj-m4jf-r6h2 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-811 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41203 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41203 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2021-396 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-613 · Aviso do Fabricante