PT-2022-26140 · Google · Tensorflow

Publicado 2022-11-18 · Atualizado 2024-03-06 · CVE-2022-41909

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.11

Versões 2.10.1, 2.9.3 e 2.8.4 do TensorFlow

Descrição

O TensorFlow é uma plataforma de código aberto para aprendizado de máquina. Uma entrada encoded que não seja um tensor CompositeTensorVariant válido provocará uma falha de segmentação em tf.raw ops.CompositeTensorVariantToComponents.

Recomendações

Para versões do TensorFlow anteriores à 2.11, atualize para a versão 2.11 ou posterior.

Para as versões 2.10.1, 2.9.3 e 2.8.4 do TensorFlow, aplique o commit selecionado para resolver o problema.

Como solução alternativa temporária, considere validar a entrada encoded para garantir que seja um tensor CompositeTensorVariant válido antes de passá-la para tf.raw ops.CompositeTensorVariantToComponents.

Exploit

Correção

NULL Pointer Dereference

RCE

Enumeração de Fraquezas

CWE-476

CWE-20

Identificadores relacionados

AZL-11543

BIT-TENSORFLOW-2022-41909

CVE-2022-41909

GHSA-RJX6-V474-2CH9

Produtos afetados

Tensorflow

Referências · 12

• 🔥 https://github.com/tensorflow/tensorflow/security/advisories/GHSA-rjx6-v474-2ch9 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41909.json · Exploit
• https://github.com/tensorflow/tensorflow/commit/bf594d08d377dc6a3354d9fdb494b32d45f91971 · Correção
• https://github.com/tensorflow/tensorflow/blob/master/tensorflow/python/lib/core/py_func.cc · Nota
• https://github.com/tensorflow/tensorflow/commit/660ce5a89eb6766834bdc303d2ab3902aef99d3d · Correção
• https://github.com/tensorflow/tensorflow · Nota
• https://osv.dev/vulnerability/BIT-tensorflow-2022-41909 · Aviso do Fabricante
• https://t.me/cibsecurity/53177 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-41909 · Nota de Segurança
• https://osv.dev/vulnerability/AZL-11543 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rjx6-v474-2ch9 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-41909 · Aviso do Fabricante