PT-2021-23193 · Google · Tensorflow

CVE-2021-41220 · Publicado 2021-11-05 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.7.0

TensorFlow versão 2.6.1

Descrição

O TensorFlow é uma plataforma de código aberto para aprendizado de máquina. A implementação assíncrona do CollectiveReduceV2 apresenta um vazamento de memória e um uso após liberação devido ao cálculo assíncrono e ao acesso a objetos que foram movidos por meio de std::move().

Recomendações

Para versões anteriores à 2.7.0, atualize para o TensorFlow 2.7.0 para resolver o problema.

Para a versão 2.6.1, aplique o commit selecionado para resolver o problema.

Como solução alternativa temporária, considere desativar a função CollectiveReduceV2 até que um patch esteja disponível.

Exploit

Correção

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

BIT-TENSORFLOW-2021-41220

CVE-2021-41220

GHSA-GPFH-JVF9-7WG5

OPENSUSE-SU-2024:12116-1

PYSEC-2021-412

PYSEC-2021-629

PYSEC-2021-827

Produtos afetados

Tensorflow

Referências · 15

• 🔥 https://github.com/tensorflow/tensorflow/security/advisories/GHSA-gpfh-jvf9-7wg5 · Exploit
• https://github.com/tensorflow/tensorflow · Nota
• https://github.com/tensorflow/tensorflow/commit/ca38dab9d3ee66c5de06f11af9a4b1200da5ef75 · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow/PYSEC-2021-412.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-gpu/PYSEC-2021-827.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-cpu/PYSEC-2021-629.yaml · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-41220 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41220 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-412 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gpfh-jvf9-7wg5 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-629 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-827 · Aviso do Fabricante
• https://t.me/cibsecurity/31934 · Publicação no Telegram
• https://t.me/cvenotify/23224 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-tensorflow-2021-41220 · Aviso do Fabricante