PT-2024-27091 · Google+1 · Tensorflow+1

Allen Householder + 3 · Publicado 2024-04-16 · Atualizado 2025-11-12 · CVE-2024-3660

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões anteriores à 2.13 da estrutura Keras do TensorFlow

Descrição

Uma falha de injeção de código na estrutura Keras do TensorFlow permite que invasores executem código arbitrário com as mesmas permissões da aplicação. Isso pode ser feito utilizando um modelo que permita a execução de código arbitrário, independentemente das permissões da aplicação. A vulnerabilidade pode ser explorada ao carregar um modelo criado com uma versão mais antiga, potencialmente contornando um patch.

Recomendações

Para versões anteriores à 2.13, considere desativar o uso de modelos criados com versões mais antigas até que um patch esteja disponível.

Como solução alternativa temporária, restrinja o carregamento de modelos para minimizar o risco de exploração.

Evite usar o LambdaLayer no Keras até que o problema seja resolvido.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

AZL-67629

CVE-2024-3660

GHSA-X4WF-678H-2PMQ

Produtos afetados

Debian

Tensorflow

Referências · 19

• https://github.com/keras-team/keras · Nota
• https://github.com/keras-team/keras/compare/r2.12...r2.13 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-3660 · Nota de Segurança
• https://ubuntu.com/security/CVE-2024-3660 · Aviso do Fabricante
• https://twitter.com/avi_lum/status/1825919942077956415 · Publicação no Twitter
• https://osv.dev/vulnerability/AZL-67629 · Aviso do Fabricante
• https://github.com/advisories/GHSA-x4wf-678h-2pmq · Nota
• https://osv.dev/vulnerability/CVE-2024-3660 · Aviso do Fabricante
• https://twitter.com/jfrog/status/1899837562434310591 · Publicação no Twitter
• https://kb.cert.org/vuls/id/253266 · Nota
• https://twitter.com/CVEnew/status/1780332145447239797 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2024-3660 · Nota de Segurança
• https://twitter.com/avi_lum/status/1825919945034588666 · Publicação no Twitter
• https://twitter.com/JFrogSecurity/status/1901304800894914838 · Publicação no Twitter
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-3660 · Aviso do Fabricante