CVE-2021-29547

Düşük

Açıklama

TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Bir saldırgan, `tf.raw_ops.QuantizedBatchNormWithGlobalNormalization` içerisinde sınırların dışındaki verilere erişerek bir segfault ve hizmet reddi (DoS) durumuna neden olabilir. Bunun sebebi, uygulamanın (https://github.com/tensorflow/tensorflow/blob/55a97caa9e99c7f37a0bbbeb414dc55553d3ae7f/tensorflow/core/kernels/quantized_batch_norm_op.cc#L176-L189) girdilerin boş olmadığını varsaymasıdır. Bu girdilerden herhangi biri boşsa, `.flat<T>()` boş bir tampon olur; dolayısıyla 0. indeksteki öğeye erişmek, sınırların dışındaki verilere erişmek anlamına gelir. Düzeltme TensorFlow 2.5.0 sürümüne dahil edilecektir. Ayrıca bu commit, etkilenen ve hala desteklenen aralıkta olan TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 ve TensorFlow 2.1.4 sürümlerine de cherry-pick ile uygulanacaktır.

ÖnemDüşük

CVSS2.5

İstismar olasılığı—

Ürün

Google Tensorflow

Yayın14 May 2021

İlk görülme14 May 2021

Zayıflık türüCWE-125Sınır dışı okuma

Nasıl düzeltilir

Güncelleyin

google tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 ya da sonraki bir sürüm
tensorflow-cpu2.1.4, 2.2.3, 2.3.3, 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 ya da sonraki bir sürüm
tensorflow-gpu2.1.4, 2.2.3, 2.3.3, 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
google tensorflow	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2	2.1.4, 2.2.3, 2.3.3, 2.4.2
tensorflowPyPI	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2, v < 2.2.0rc0, 2.2.0 ≤ v < 2.3.0rc0, 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3	2.1.4, 2.2.3, 2.3.3, 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3
tensorflow-cpuPyPI	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2, v < 2.2.0rc0, 2.2.0 ≤ v < 2.3.0rc0, 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3	2.1.4, 2.2.3, 2.3.3, 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3
tensorflow-gpuPyPI	v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2, v < 2.2.0rc0, 2.2.0 ≤ v < 2.3.0rc0, 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3	2.1.4, 2.2.3, 2.3.3, 2.4.2, 2.2.0rc0, 2.3.0rc0, 2.3.4, 2.4.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.