CVE-2022-23589
Açıklama
TensorFlow, Açık Kaynaklı bir Makine Öğrenimi Çerçevesidir. Belirli senaryolarda, TensorFlow'un Grappler bileşeni bir null pointer dereference tetikleyebilir. Bir `SavedModel` dosyasının aynı kötü niyetli şekilde değiştirilmesi durumunda bunun gerçekleşebileceği iki yer vardır (birincisinin düzeltilmesi, ikincisinde aynı dereference işlemini tetikleyecektir). İlk olarak, sabit katlama (constant folding) sırasında, `GraphDef` ikili işlem için gerekli düğümlere sahip olmayabilir. Eğer bir düğüm eksikse, karşılık gelen `mul_*child` null olacaktır ve sonraki satırdaki dereference işlemi hatalı olacaktır. `IsIdentityConsumingSwitch` sırasında benzer bir sorun bulunmaktadır. Düzeltme TensorFlow 2.8.0 sürümüne dahil edilecektir. Bu commit ayrıca etkilenen ve hala desteklenen aralıkta olan TensorFlow 2.7.1, TensorFlow 2.6.3 ve TensorFlow 2.5.3 sürümlerine de cherry-pick ile uygulanacaktır.
Nasıl düzeltilir
- tensorflow2.5.3, 2.6.3, 2.7.1 ya da sonraki bir sürüm
- tensorflow-cpu2.5.3, 2.6.3, 2.7.1 ya da sonraki bir sürüm
- tensorflow-gpu2.5.3, 2.6.3, 2.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | v ≤ 2.5.2, 2.6.0 ≤ v ≤ 2.6.2, 2.7.0 | — |
| tensorflowPyPI | v < 2.5.3, 2.6.0 ≤ v < 2.6.3, 2.7.0 ≤ v < 2.7.1 | 2.5.3, 2.6.3, 2.7.1 |
| tensorflow-cpuPyPI | v < 2.5.3, 2.6.0 ≤ v < 2.6.3, 2.7.0 ≤ v < 2.7.1 | 2.5.3, 2.6.3, 2.7.1 |
| tensorflow-gpuPyPI | v < 2.5.3, 2.6.0 ≤ v < 2.6.3, 2.7.0 ≤ v < 2.7.1 | 2.5.3, 2.6.3, 2.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.