PT-2021-23201 · Google · Tensorflow

Omer Kaspi · Publicado 2021-11-05 · Atualizado 2024-03-06 · CVE-2021-41228

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.7.0

Versões do TensorFlow 2.6.1 e anteriores

Versões do TensorFlow 2.5.2 e anteriores

Versões do TensorFlow 2.4.4 e anteriores

Descrição

A ferramenta saved model cli do TensorFlow está vulnerável a injeção de código, pois chama eval em strings fornecidas pelo usuário. Isso pode ser usado por invasores para executar código arbitrário na plataforma onde a ferramenta CLI é executada. No entanto, como a ferramenta é sempre executada manualmente, o impacto disso não é grave.

Recomendações

Para versões anteriores à 2.7.0, atualize para o TensorFlow 2.7.0 ou posterior.

Para versões 2.6.1 e anteriores, atualize para o TensorFlow 2.6.1 ou posterior.

Para versões 2.5.2 e anteriores, atualize para o TensorFlow 2.5.2 ou posterior.

Para versões 2.4.4 e anteriores, atualize para o TensorFlow 2.4.4 ou posterior.

Como solução temporária, considere adicionar o sinalizador safe com o valor True ao usar a ferramenta saved model cli até que um patch esteja disponível.

Exploit

Correção

Code Injection

OS Command Injection

Enumeração de Fraquezas

CWE-94

CWE-78

Identificadores relacionados

BIT-TENSORFLOW-2021-41228

CVE-2021-41228

GHSA-3RCW-9P9X-582V

OPENSUSE-SU-2024:12116-1

PYSEC-2021-420

PYSEC-2021-637

PYSEC-2021-835

Produtos afetados

Tensorflow

Referências · 19

• 🔥 https://github.com/tensorflow/tensorflow/security/advisories/GHSA-3rcw-9p9x-582v · Exploit
• https://github.com/tensorflow/tensorflow/commit/8b202f08d52e8206af2bdb2112a62fafbc546ec7 · Correção
• https://github.com/tensorflow/tensorflow · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow/PYSEC-2021-420.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-cpu/PYSEC-2021-637.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-gpu/PYSEC-2021-835.yaml · Nota
• https://t.me/defcon_news/90047 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-41228 · Nota de Segurança
• https://t.me/cvenotify/23222 · Publicação no Telegram
• https://t.me/rnetsec/16038 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-41228 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3rcw-9p9x-582v · Aviso do Fabricante
• https://t.me/secharvester/11733 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2021-420 · Aviso do Fabricante
• https://t.me/cibsecurity/31930 · Publicação no Telegram