CVE-2021-37658
Açıklama
TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Etkilenen sürümlerde, bir saldırgan `tf.raw_ops.MatrixSetDiagV*` türündeki tüm işlemlerde null işaretçiye referans bağlayarak tanımsız davranışa neden olabilir. [Uygulamada](https://github.com/tensorflow/tensorflow/blob/84d053187cb80d975ef2b9684d4b61981bca0c41/tensorflow/core/kernels/linalg/matrix_diag_op.cc), `k` değerinin geçerli bir tensör olduğuna dair doğrulama eksiktir. Bu değerin skaler veya vektör olduğunu kontrol ediyoruz, ancak öğe sayısı için kontrol yok. Eğer bu boş bir tensörse, tensörün ilk öğesine erişen kod hatalıdır. Sorunu GitHub commit ff8894044dfae5568ecbf2ed514c1a37dc394f1b ile yamaladık. Düzeltme TensorFlow 2.6.0'a dahil edilecektir. Bu commit'i ayrıca TensorFlow 2.5.1, TensorFlow 2.4.3 ve TensorFlow 2.3.4 üzerine de cherrypick edeceğiz, çünkü bunlar da etkilenmektedir ve hâlâ desteklenen aralıktadır.
Nasıl düzeltilir
- google tensorflow2.3.4, 2.4.3 ya da sonraki bir sürüm
- tensorflow2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
- tensorflow-cpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
- tensorflow-gpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0, 2.6.0 | 2.3.4, 2.4.3 |
| tensorflowPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-cpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-gpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.