PT-2021-23200 · Google · Tensorflow

CVE-2021-41227 · Publicado 2021-11-05 · Atualizado 2024-03-06

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.7.0

Versões do TensorFlow 2.6.1 e anteriores

Versões do TensorFlow 2.5.2 e anteriores

Versões do TensorFlow 2.4.4 e anteriores

Descrição

O TensorFlow é uma plataforma de código aberto para aprendizado de máquina. A operação ImmutableConst no TensorFlow pode ser induzida a ler conteúdos arbitrários da memória. Isso ocorre porque a classe de string tstring do TensorFlow possui um caso especial para strings mapeadas na memória, mas a operação em si não oferece suporte para esse tipo de dados.

Recomendações

Para versões anteriores à 2.7.0, atualize para o TensorFlow 2.7.0 ou posterior.

Para versões 2.6.1 e anteriores, atualize para o TensorFlow 2.6.1 ou posterior.

Para versões 2.5.2 e anteriores, atualize para o TensorFlow 2.5.2 ou posterior.

Para versões 2.4.4 e anteriores, atualize para o TensorFlow 2.4.4 ou posterior.

Como solução alternativa temporária, considere desativar a operação ImmutableConst até que um patch esteja disponível.

Exploit

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

BIT-TENSORFLOW-2021-41227

CVE-2021-41227

GHSA-J8C8-67VP-6MX7

OPENSUSE-SU-2024:12116-1

PYSEC-2021-419

PYSEC-2021-636

PYSEC-2021-834

Produtos afetados

Tensorflow

Referências · 16

• 🔥 https://github.com/tensorflow/tensorflow/security/advisories/GHSA-j8c8-67vp-6mx7 · Exploit
• https://github.com/tensorflow/tensorflow · Nota
• https://github.com/tensorflow/tensorflow/commit/3712a2d3455e6ccb924daa5724a3652a86f6b585 · Correção
• https://github.com/tensorflow/tensorflow/commit/1cb6bb6c2a6019417c9adaf9e6843ba75ee2580b · Correção
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-cpu/PYSEC-2021-636.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-gpu/PYSEC-2021-834.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow/PYSEC-2021-419.yaml · Nota
• https://osv.dev/vulnerability/GHSA-j8c8-67vp-6mx7 · Aviso do Fabricante
• https://t.me/cvenotify/23225 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41227 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-tensorflow-2021-41227 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-419 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-834 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-636 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41227 · Nota de Segurança