CVE-2021-29553
Təsvir
TensorFlow maşın öyrənməsi üçün uçdan-uca açıq mənbəli platformadır. Hücumçu `tf.raw_ops.QuantizeAndDequantizeV3` funksiyasında heap tərəfindən ayrılmış buferin sərhədləri xaricindəki məlumatları oxuya bilər. Bunun səbəbi odur ki, implementasiya (https://github.com/tensorflow/tensorflow/blob/11ff7f80667e6490d7b5174aa6bf5e01886e770f/tensorflow/core/kernels/quantize_and_dequantize_op.cc#L237), istifadəçi tərəfindən təmin edilən `axis` atributunun dəyərini `input` arqumentinin altındakı massivdə indeksləmək üçün istifadə etməzdən əvvəl yoxlamır. Düzəliş TensorFlow 2.5.0 versiyasına daxil ediləcəkdir. Həmçinin, bu commit hələ də dəstəklənən diapazonda olan və təsirlənmiş digər versiyalara — TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 və TensorFlow 2.1.4 versiyalarına da tətbiq olunacaqdır.
Necə düzəltmək olar
- google tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
- tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
- tensorflow-cpu2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
- tensorflow-gpu2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| google tensorflow | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflowPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-cpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-gpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.