CVE-2021-29544
Açıklama
TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Bir saldırgan, `tf.raw_ops.QuantizeAndDequantizeV4Grad` içerisindeki bir `CHECK` hatası aracılığıyla hizmet reddi tetikleyebilir. Bunun nedeni, uygulamanın `input_*` tensörlerinin derecesini (rank) doğrulamamasıdır. Bu durum, tensörlerin olduğu gibi `QuantizeAndDequantizePerChannelGradientImpl` fonksiyonuna aktarılmasına yol açar. Ancak, `vec<T>` yöntemi derecenin 1 olmasını gerektirir ve aksi takdirde bir `CHECK` hatası tetikler. Düzeltme TensorFlow 2.5.0 sürümüne dahil edilecektir. Etkilenen tek diğer sürüm olduğu için bu commit aynı zamanda TensorFlow 2.4.2 sürümüne de uygulanacaktır.
Nasıl düzeltilir
- google tensorflow2.4.2 ya da sonraki bir sürüm
- tensorflow2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 ya da sonraki bir sürüm
- tensorflow-cpu2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 ya da sonraki bir sürüm
- tensorflow-gpu2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | 2.4.0 ≤ v < 2.4.2 | 2.4.2 |
| tensorflowPyPI | 2.4.0 ≤ v < 2.4.2, v < 2.2.0rc0, 2.2.0 ≤ v < 2.3.0rc0, 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3 | 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 |
| tensorflow-cpuPyPI | 2.4.0 ≤ v < 2.4.2, v < 2.2.0rc0, 2.2.0 ≤ v < 2.3.0rc0, 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3 | 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 |
| tensorflow-gpuPyPI | 2.4.0 ≤ v < 2.4.2, v < 2.2.0rc0, 2.2.0 ≤ v < 2.3.0rc0, 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3 | 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.