CVE-2021-37678
Təsvir
TensorFlow maşın öyrənməsi üçün uçdan-uca açıq mənbəli platformadır. Təsirə məruz qalan versiyalarda, Keras modelini YAML formatından deserializasiya edərkən TensorFlow və Keras-ı ixtiyari kodun icrasını yerinə yetirməyə məcbur etmək mümkündür. [İmplementasiya](https://github.com/tensorflow/tensorflow/blob/460e000de3a83278fb00b61a16d161b1964f15f4/tensorflow/python/keras/saving/model_config.py#L66-L104) girişdə ixtiyari kodun icrasını həyata keçirə bilən `yaml.unsafe_load` funksiyasından istifadə edir. YAML formatının dəstəklənməsi əhəmiyyətli həcmdə iş tələb etdiyindən, biz onu hazırda kənarlaşdırdıq. Problem GitHub commit 23d6383eb6c14084a8fc3bdf164043b974818012 ilə düzəldilmişdir. Düzəliş TensorFlow 2.6.0 versiyasına daxil ediləcək. Həmçinin bu commit TensorFlow 2.5.1, TensorFlow 2.4.3 və TensorFlow 2.3.4 versiyalarına da tətbiq olunacaq, çünki onlar da təsirlənmişdir və hələ də dəstəklənən diapazondadırlar.
Necə düzəltmək olar
- google tensorflow2.3.4, 2.4.3 və ya daha yeni versiya
- tensorflow2.3.4, 2.4.3, 2.5.1 və ya daha yeni versiya
- tensorflow-cpu2.3.4, 2.4.3, 2.5.1 və ya daha yeni versiya
- tensorflow-gpu2.3.4, 2.4.3, 2.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| google tensorflow | 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0, 2.6.0 | 2.3.4, 2.4.3 |
| tensorflowPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-cpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-gpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.