CVE-2021-37659

Yüksək

Təsvir

TensorFlow maşın öyrənməsi üçün uçdan-uca açıq mənbəli platformadır. Təsirə məruz qalan versiyalarda hücumçu, yayılma (broadcasting) tələb etməyən bütün binar cwise əməliyyatlarında (məsələn, binar cwise əməliyyatlarının gradientləri) null göstəricisinə istinad bağlamaqla müəyyən edilməmiş davranışa səbəb ola bilər. [İcra](https://github.com/tensorflow/tensorflow/blob/84d053187cb80d975ef2b9684d4b61981bca0c41/tensorflow/core/kernels/cwise_ops_common.h#L264) iki girişin tamamilə eyni sayda elementə malik olduğunu fərz edir, lakin bunu yoxlamır. Buna görə də, eigen funktoru icra olunduqda, nullptr-ə bağlanma səbəbindən heap OOB oxumaları və müəyyən edilməmiş davranış tetiklənir. Biz bu problemi GitHub commit 93f428fd1768df147171ed674fee1fc5ab8309ec ilə düzəltmişik. Düzəliş TensorFlow 2.6.0 versiyasına daxil ediləcək. Həmçinin, bu commit TensorFlow 2.5.1, TensorFlow 2.4.3 və TensorFlow 2.3.4 versiyalarına da tətbiq olunacaq, çünki onlar da təsirlidir və hələ də dəstəklənən diapazondadırlar.

CiddilikYüksək

CVSS7.3

İstismar ehtimalı—

Məhsul

Google Tensorflow

Dərc12 avq 2021

İlk görülmə12 avq 2021

Zəiflik növüCWE-476NULL göstəricinin istifadəsi CWE-125Sərhəddən kənar oxuma

Necə düzəltmək olar

Yeniləyin

google tensorflow2.3.4, 2.4.3 və ya daha yeni versiya
tensorflow2.3.4, 2.4.3, 2.5.1 və ya daha yeni versiya
tensorflow-cpu2.3.4, 2.4.3, 2.5.1 və ya daha yeni versiya
tensorflow-gpu2.3.4, 2.4.3, 2.5.1 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
google tensorflow	2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0, 2.6.0	2.3.4, 2.4.3
tensorflowPyPI	v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4	2.3.4, 2.4.3, 2.5.1
tensorflow-cpuPyPI	v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4	2.3.4, 2.4.3, 2.5.1
tensorflow-gpuPyPI	v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4	2.3.4, 2.4.3, 2.5.1

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.