CVE-2021-29518

Aşağı

Təsvir

TensorFlow maşın öyrənməsi üçün uçdan-uca açıq mənbəli platformadır. Eager rejimində (TF 2.0 və daha yeni versiyalarda standartdır) sessiya əməliyyatları etibarsızdır. Lakin istifadəçilər hələ də onlarla əlaqəli olan xam op-ları çağıra və null pointer dereference xətasına səbəb ola bilərlər. Implementasiya (https://github.com/tensorflow/tensorflow/blob/eebb96c2830d48597d055d247c0e9aebaea94cd5/tensorflow/core/kernels/session_ops.cc#L104) sessiya vəziyyəti göstəricisinin (pointer) etibarlı olub-olmadığını yoxlamadan onu dereference edir. Beləliklə, eager rejimində `ctx->session_state()` nullptr olur və üzv funksiyasının çağırılması təyin olunmamış davranışa (undefined behavior) səbəb olur. Düzəliş TensorFlow 2.5.0 versiyasına daxil ediləcəkdir. Həmçinin bu commit, təsirləndiyi və hələ də dəstəkləndiyi üçün TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 və TensorFlow 2.1.4 versiyalarına da tətbiq ediləcəkdir.

CiddilikAşağı

CVSS2.5

İstismar ehtimalı—

Məhsul

Google Tensorflow

Dərc14 may 2021

İlk görülmə14 may 2021

Zəiflik növüCWE-476NULL göstəricinin istifadəsi

Necə düzəltmək olar

Yeniləyin

google tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
tensorflow-cpu2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
tensorflow-gpu2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
google tensorflow	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2	2.1.4, 2.2.3, 2.3.3, 2.4.2
tensorflowPyPI	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2	2.1.4, 2.2.3, 2.3.3, 2.4.2
tensorflow-cpuPyPI	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2	2.1.4, 2.2.3, 2.3.3, 2.4.2
tensorflow-gpuPyPI	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2	2.1.4, 2.2.3, 2.3.3, 2.4.2

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.