PT-2022-23069

CVE-2022-35970

Publicado

2022-09-16

Atualizado

2026-07-13

Descrição por

CVSS 3.1

5.9

Média

MétricasAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do TensorFlow anteriores à 2.10.0

Versões do TensorFlow 2.9.1 e anteriores

Versões do TensorFlow 2.8.1 e anteriores

Versões do TensorFlow 2.7.2 e anteriores

Descrição

O problema ocorre quando QuantizedInstanceNorm recebe tensores x min ou x max de classificação diferente de zero, resultando em uma falha de segmentação que pode ser usada para desencadear um ataque de negação de serviço. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para versões do TensorFlow anteriores à 2.10.0, atualize para a versão 2.10.0 ou posterior.

Para versões do TensorFlow 2.9.1 e anteriores, atualize para a versão 2.9.1 ou posterior.

Para versões do TensorFlow 2.8.1 e anteriores, atualize para a versão 2.8.1 ou posterior.

Para versões do TensorFlow 2.7.2 e anteriores, atualize para a versão 2.7.2 ou posterior.

Como solução alternativa temporária, considere evitar o uso de QuantizedInstanceNorm com tensores x min ou x max de classificação diferente de zero até que um patch esteja disponível.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Neophytos Christou

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation

Identificadores relacionados

CVE-2022-35970