CVE-2021-29601
Açıklama
TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Concatenation işleminin TFLite uygulaması, bir tamsayı taşması sorununa karşı savunmasızdır (https://github.com/tensorflow/tensorflow/blob/7b7352a724b690b11bfaae2cd54bc3907daf6285/tensorflow/lite/kernels/concatenation.cc#L70-L76). Bir saldırgan, concatenation girişlerinden birinin boyutlarının `int` değerlerini taşırdığı bir model oluşturabilir. TFLite tensör boyutlarını temsil etmek için `int` kullanırken, TF `int64` kullanır. Bu nedenle, geçerli TF modelleri TFLite formatına dönüştürüldüğünde bir tamsayı taşmasını tetikleyebilir. Düzeltme TensorFlow 2.5.0 sürümüne dahil edilecektir. Ayrıca bu commit; etkilendiği ve hala desteklenen aralıkta olduğu için TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 ve TensorFlow 2.1.4 sürümlerine de uygulanacaktır.
Nasıl düzeltilir
- google tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
- tensorflow2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
- tensorflow-cpu2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
- tensorflow-gpu2.1.4, 2.2.3, 2.3.3, 2.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflowPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-cpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
| tensorflow-gpuPyPI | v < 2.1.4, 2.2.0 ≤ v < 2.2.3, 2.3.0 ≤ v < 2.3.3, 2.4.0 ≤ v < 2.4.2 | 2.1.4, 2.2.3, 2.3.3, 2.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.