CVE-2021-37643
Açıklama
TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Bir kullanıcı `tf.raw_ops.MatrixDiagPartOp` işlemine geçerli bir padding değeri sağlamazsa, kod bir null pointer dereference tetikler (girdi boşsa) veya ilk değerden sonraki tüm değerleri yoksayarak geçersiz davranış sergiler. [Uygulama](https://github.com/tensorflow/tensorflow/blob/8d72537c6abf5a44103b57b9c2e22c14f5f49698/tensorflow/core/kernels/linalg/matrix_diag_op.cc#L89), tensor'ün okunacak değerlere sahip olup olmadığını önce kontrol etmeden bir tensor tamponundan ilk değeri okur. Sorun, GitHub commit 482da92095c4d48f8784b1f00dda4f81c28d2988 ile düzeltilmiştir. Düzeltme TensorFlow 2.6.0 sürümüne dahil edilecektir. Ayrıca bu commit; etkilenen ve hala desteklenen aralıkta olan TensorFlow 2.5.1, TensorFlow 2.4.3 ve TensorFlow 2.3.4 sürümlerine de cherrypick yöntemiyle uygulanacaktır.
Nasıl düzeltilir
- google tensorflow2.3.4, 2.4.3 ya da sonraki bir sürüm
- tensorflow2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
- tensorflow-cpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
- tensorflow-gpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0, 2.6.0 | 2.3.4, 2.4.3 |
| tensorflowPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-cpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-gpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.