CVE-2023-25661
Açıklama
TensorFlow bir Açık Kaynak Makine Öğrenmesi Çerçevesidir. 2.11.1 öncesindeki sürümlerde, kötü niyetli geçersiz bir girdi bir tensorflow modelini çökerterek (Check Failed) hizmet reddi saldırısını tetiklemek için kullanılabilir. Bir kavram kanıtı (PoC), `Convolution3DTranspose` fonksiyonu ile oluşturulabilir. Bu Convolution3DTranspose katmanı, modern sinir ağlarında çok yaygın bir API'dir. Bu tür savunmasız bileşenler içeren ML modelleri, ML uygulamalarında veya bulut servisleri olarak konuşlandırılabilir. Bu hata, potansiyel olarak ML bulut servislerine yönelik bir hizmet reddi saldırısını tetiklemek için kullanılabilir. Saldırganın, bir `Convolution3DTranspose` çağrısına girdi sağlama yetkisine sahip olması gerekir. Bu sorun yamalanmıştır ve kullanıcıların 2.11.1 sürümüne yükseltmeleri önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- google tensorflow2.11.1 ya da sonraki bir sürüm
- tensorflow2.11.1 ya da sonraki bir sürüm
- tensorflow-cpu2.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google tensorflow | v < 2.11.1 | 2.11.1 |
| tensorflowPyPI | v < 2.11.1 | 2.11.1 |
| tensorflow-cpuPyPI | v < 2.11.1 | 2.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.