PT-2022-23065 · Google · Tensorflow

Neophytos Christou · Publicado 2022-09-16 · Atualizado 2024-03-06 · CVE-2022-35966

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.10.0

Versões 2.9.1, 2.8.1 e 2.7.2 do TensorFlow

Descrição

O problema ocorre quando QuantizedAvgPool recebe tensores min input ou max input de classificação diferente de zero, resultando em uma falha de segmentação que pode ser usada para desencadear um ataque de negação de serviço.

Recomendações

Para versões do TensorFlow anteriores à 2.10.0, atualize para a versão 2.10.0 ou posterior.

Para as versões 2.9.1, 2.8.1 e 2.7.2 do TensorFlow, selecione o commit 7cdf9d4d2083b739ec81cfdace546b0c99f50622 para resolver o problema.

Como solução alternativa temporária, considere evitar o uso de QuantizedAvgPool com tensores min input ou max input de classificação diferente de zero até que um patch esteja disponível.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

BIT-TENSORFLOW-2022-35966

CVE-2022-35966

GHSA-4W68-4X85-MJJ9

OPENSUSE-SU-2024:12355-1

Produtos afetados

Tensorflow

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/35xxx/CVE-2022-35966.json · Exploit
• https://github.com/tensorflow/tensorflow/commit/7cdf9d4d2083b739ec81cfdace546b0c99f50622 · Correção
• https://github.com/tensorflow/tensorflow/security/advisories/GHSA-4w68-4x85-mjj9 · Correção
• https://github.com/tensorflow/tensorflow/releases/tag/v2.10.0 · Nota
• https://github.com/tensorflow/tensorflow · Nota
• https://osv.dev/vulnerability/BIT-tensorflow-2022-35966 · Aviso do Fabricante
• https://t.me/cibsecurity/49997 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-4w68-4x85-mjj9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-35966 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-35966 · Aviso do Fabricante