Threat Investigation
Tanıtım talep edin

CVE-2021-37679

Yüksek

Açıklama

TensorFlow, makine öğrenimi için uçtan uca açık kaynaklı bir platformdur. Etkilenen sürümlerde, bir `tf.map_fn` çağrısını başka bir `tf.map_fn` çağrısının içine yerleştirmek mümkündür. Ancak, giriş tensörü bir `RaggedTensor` ise ve herhangi bir fonksiyon imzası sağlanmamışsa, kod çıktının tam olarak belirtilmiş bir tensör olduğunu varsayar ve çıktı tamponunu yığından gelen başlatılmamış içeriklerle doldurur. `t` ve `z` çıktıları aynı olmalıdır ancak durum böyle değildir. `t`'nin son satırı, diğer bellek bilgilerini sızdırmak için kullanılabilecek yığın verilerini içerir. Hata, bir `Variant` tensörünün `RaggedTensor`'a dönüştürülmesinde yatmaktadır. [Uygulama](https://github.com/tensorflow/tensorflow/blob/460e000de3a83278fb00b61a16d161b1964f15f4/tensorflow/core/kernels/ragged_tensor_from_variant_op.cc#L177-L190), tüm iç şekillerin eşleştiğini kontrol etmez ve bu da ek boyutlara yol açar. Aynı uygulama, giriş tensörü üzerinde değişiklik yapıldığında veri kaybına neden olabilir. Sorun, GitHub commit 4e2565483d0ffcadc719bd44893fb7f609bb5f12 ile düzeltilmiştir. Düzeltme TensorFlow 2.6.0 sürümüne dahil edilecektir. Ayrıca etkilenen ve hala desteklenen aralıkta olan TensorFlow 2.5.1, TensorFlow 2.4.3 ve TensorFlow 2.3.4 sürümleri için de bu commit cherry-pick yöntemiyle uygulanacaktır.

ÖnemYüksek
CVSS7.1
İstismar olasılığı—
ÜrünGoogle Tensorflow
Yayın12 Ağu 2021
İlk görülme12 Ağu 2021
Zayıflık türüCWE-125Sınır dışı okuma

Nasıl düzeltilir

Güncelleyin
  • google tensorflow2.3.4, 2.4.3 ya da sonraki bir sürüm
  • tensorflow2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
  • tensorflow-cpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm
  • tensorflow-gpu2.3.4, 2.4.3, 2.5.1 ya da sonraki bir sürüm

Etkilenen ürünler

ÜrünEtkilenen sürümlerDüzeltildiği sürüm
google tensorflow2.3.0 ≤ v < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0, 2.6.02.3.4, 2.4.3
tensorflowPyPIv < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.42.3.4, 2.4.3, 2.5.1
tensorflow-cpuPyPIv < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.42.3.4, 2.4.3, 2.5.1
tensorflow-gpuPyPIv < 2.3.4, 2.4.0 ≤ v < 2.4.3, 2.5.0 ≤ v < 2.5.1, 2.3.0 ≤ v < 2.3.42.3.4, 2.4.3, 2.5.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.