PT-2021-21790 · Google · Tensorflow

CVE-2021-37672

·

Publicado

2021-08-12

·

Atualizado

2024-03-06

CVSS v4.0

6.8

Média

VetorAV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Nome do software vulnerável e versões afetadas
Versões do TensorFlow anteriores à 2.6.0
Versões do TensorFlow 2.5.1 e anteriores
Versões do TensorFlow 2.4.3 e anteriores
Versões do TensorFlow 2.3.4 e anteriores
Descrição
Um invasor pode ler dados fora dos limites da memória heap alocada enviando argumentos ilegais especialmente criados para tf.raw ops.SdcaOptimizerV2. A implementação não verifica se o comprimento de example labels é igual ao número de exemplos.
Recomendações
Para versões do TensorFlow anteriores à 2.6.0, atualize para o TensorFlow 2.6.0 ou posterior.
Para versões do TensorFlow 2.5.1 e anteriores, atualize para o TensorFlow 2.5.1 ou posterior.
Para versões do TensorFlow 2.4.3 e anteriores, atualize para o TensorFlow 2.4.3 ou posterior.
Para versões do TensorFlow 2.3.4 e anteriores, atualize para o TensorFlow 2.3.4 ou posterior.
Como solução temporária, considere restringir o uso de tf.raw ops.SdcaOptimizerV2 até que um patch esteja disponível.
Evite usar o parâmetro example labels no endpoint da API afetado até que o problema seja resolvido.

Correção

Out of bounds Read

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-TENSORFLOW-2021-37672
CVE-2021-37672
GHSA-5HJ3-VJJF-F5M7
OPENSUSE-SU-2022:10014-1
OPENSUSE-SU-2024:12116-1
PYSEC-2021-294
PYSEC-2021-585
PYSEC-2021-783

Produtos afetados

Tensorflow