CVE-2021-29530
Açıklama
TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Bir saldırgan, `tf.raw_ops.SparseMatrixSparseCholesky` fonksiyonuna geçersiz bir `permutation` sağlayarak bir null pointer dereference tetikleyebilir. Bunun nedeni, uygulamanın (https://github.com/tensorflow/tensorflow/blob/080f1d9e257589f78b3ffb75debf584168aa6062/tensorflow/core/kernels/sparse/sparse_cholesky_op.cc#L85-L86) giriş argümanlarını düzgün şekilde doğrulamamasıdır. `ValidateInputs` çağrılsa ve bu fonksiyonun gövdesinde kontroller bulunsa da, `OP_REQUIRES` (https://github.com/tensorflow/tensorflow/blob/080f1d9e257589f78b3ffb75debf584168aa6062/tensorflow/core/framework/op_requires.h#L41-L48) yalnızca mevcut fonksiyondan çıkan bir makro olduğu için kod, `ValidateInputs` içindeki bir sonraki satıra geçer. Bu nedenle, `ValidateInputs` içinde başarısız olan ilk doğrulama koşulu, o fonksiyondan erken dönülmesine neden olur; ancak çağıran taraf yürütmeye bir sonraki satırdan devam eder. Çözüm, ya `context->status()` değerinin açıkça kontrol edilmesi ya da `ValidateInputs` fonksiyonunun bir `Status` döndürecek şekilde dönüştürülmesidir. Düzeltme TensorFlow 2.5.0 sürümüne dahil edilecektir. Ayrıca etkilenen ve hala desteklenen aralıkta oldukları için bu commit TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 ve TensorFlow 2.1.4 sürümlerine de cherry-pick ile uygulanacaktır.
Nasıl düzeltilir
- google tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
- tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
- tensorflow-cpu2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
- tensorflow-gpu2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflowPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-cpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-gpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.