CVE-2021-37661
Açıklama
TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Etkilenen sürümlerde bir saldırgan, negatif argümanlar kullanarak `boosted_trees_create_quantile_stream_resource` fonksiyonunda hizmet reddi durumuna neden olabilir. [Uygulama](https://github.com/tensorflow/tensorflow/blob/84d053187cb80d975ef2b9684d4b61981bca0c41/tensorflow/core/kernels/boosted_trees/quantile_ops.cc#L96), `num_streams` parametresinin yalnızca negatif olmayan sayılar içerdiğini doğrulamamaktadır. Bu durum, [bellek ayırmak için bu değerin kullanılmasıyla sonuçlanır](https://github.com/tensorflow/tensorflow/blob/84d053187cb80d975ef2b9684d4b61981bca0c41/tensorflow/core/kernels/boosted_trees/quantiles/quantile_stream_resource.h#L31-L40). Ancak, `reserve` işlevi işaretsiz bir tam sayı aldığı için negatif bir değerden büyük pozitif bir işaretsiz değere örtük bir dönüşüm gerçekleşir. Bu da standart kütüphaneden kaynaklanan bir çökmeye yol açar. Sorun, GitHub commit 8a84f7a2b5a2b27ecf88d25bad9ac777cd2f7992 ile düzeltilmiştir. Düzeltme TensorFlow 2.6.0 sürümüne dahil edilecektir. Ayrıca etkilenen ve hala desteklenen aralıkta olan TensorFlow 2.5.1, TensorFlow 2.4.3 ve TensorFlow 2.3.4 sürümleri için de bu commit cherry-pick yöntemiyle uygulanacaktır.
Nasıl düzeltilir
- google tensorflow2.3.4, 2.4.3 ya da sonraki bir sürüm
- tensorflow2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
- tensorflow-cpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
- tensorflow-gpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | 2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0, 2.6.0 | 2.3.4, 2.4.3 |
| tensorflowPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-cpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
| tensorflow-gpuPyPI | v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.4 | 2.3.4, 2.4.3, 2.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.