CVE-2021-29584
Təsvir
TensorFlow maşın öyrənməsi üçün uçdan-uca açıq mənbəli platformadır. Hücumçu yeni tensor forması konstruksiyası zamanı tam ədəd daşması (integer overflow) səbəbindən baş verən `CHECK`-uğursuzluğu vasitəsilə xidmətdən imtina (denial of service) vəziyyətini yarada bilər. Bunun səbəbi tətbiqin (https://github.com/tensorflow/tensorflow/blob/0908c2f2397c099338b901b067f6495a5b96760b/tensorflow/core/kernels/sparse_split_op.cc#L66-L70) ölçülərin daşmaya səbəb olmayacağını yoxlamadan sıx forma qurmasıdır. `TensorShape` konstruktoru (https://github.com/tensorflow/tensorflow/blob/6f9896890c4c703ae0a0845394086e2e1e523299/tensorflow/core/framework/tensor_shape.cc#L183-L188), `InitDims` (https://github.com/tensorflow/tensorflow/blob/6f9896890c4c703ae0a0845394086e2e1e523299/tensorflow/core/framework/tensor_shape.cc#L212-L296) OK olmayan status qaytardıqda işə düşən `CHECK` əməliyyatından istifadə edir. Bu, konstruktorun köhnəlmiş tətbiqidir və daşmalar olduqda `CHECK`-uğursuzluqlarının qarşısını almaq üçün əməliyyatlar `BuildTensorShapeBase` və ya `AddDimWithStatus` funksiyalarından istifadə etməlidir. Düzəliş TensorFlow 2.5.0 versiyasına daxil ediləcəkdir. Həmçinin bu commit təsirlənən və hələ də dəstəklənən diapazonda olan TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 və TensorFlow 2.1.4 versiyalarına da tətbiq olunacaqdır.
Necə düzəltmək olar
- google tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
- tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
- tensorflow-cpu2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
- tensorflow-gpu2.1.4, 2.2.3, 2.3.3, 2.4.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| google tensorflow | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflowPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-cpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-gpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.