PT-2022-15078 · Google · Tensorflow

Faysal Hossain Shezan · Publicado 2022-02-03 · Atualizado 2024-03-06 · CVE-2022-21738

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.1

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.8.0

Versões do TensorFlow 2.7.1 e anteriores

Versões do TensorFlow 2.6.3 e anteriores

Versões do TensorFlow 2.5.3 e anteriores

Descrição

A implementação de SparseCountSparseOutput pode causar a falha de um processo do TensorFlow devido a um estouro de inteiro, cujo resultado é então utilizado em uma alocação de memória.

Recomendações

Para versões anteriores à 2.8.0, atualize para o TensorFlow 2.8.0 ou posterior.

Para versões 2.7.1 e anteriores, atualize para o TensorFlow 2.7.1 ou posterior.

Para versões 2.6.3 e anteriores, atualize para o TensorFlow 2.6.3 ou posterior.

Para versões 2.5.3 e anteriores, atualize para o TensorFlow 2.5.3 ou posterior.

Como solução temporária, considere evitar o uso de SparseCountSparseOutput até que um patch esteja disponível.

Exploit

Correção

Integer Overflow

Enumeração de Fraquezas

CWE-190

Identificadores relacionados

BIT-TENSORFLOW-2022-21738

CVE-2022-21738

GHSA-X4QX-4FJV-HMW6

OPENSUSE-SU-2024:12116-1

PYSEC-2022-117

PYSEC-2022-62

Produtos afetados

Tensorflow

Referências · 14

• 🔥 https://github.com/tensorflow/tensorflow/blob/5100e359aef5c8021f2e71c7b986420b85ce7b3d/tensorflow/core/kernels/count_ops.cc#L168-L273 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21738.json · Exploit
• https://github.com/tensorflow/tensorflow/security/advisories/GHSA-x4qx-4fjv-hmw6 · Correção
• https://github.com/tensorflow/tensorflow/commit/6f4d3e8139ec724dbbcb40505891c81dd1052c4a · Correção
• https://github.com/tensorflow/tensorflow · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-gpu/PYSEC-2022-117.yaml · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/tensorflow-cpu/PYSEC-2022-62.yaml · Nota
• https://osv.dev/vulnerability/BIT-tensorflow-2022-21738 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21738 · Nota de Segurança
• https://osv.dev/vulnerability/PYSEC-2022-117 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-62 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-x4qx-4fjv-hmw6 · Aviso do Fabricante
• https://t.me/cibsecurity/36768 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-21738 · Aviso do Fabricante