CVE-2022-23590
Crash due to erroneous `StatusOr` in Tensorflow
Em resumo
Um SavedModel do TensorFlow modificado maliciosamente pode derrubar um processo TensorFlow ao forçar a extração de um valor de erro de um objeto StatusOr. Isso afeta aplicações que usam TensorFlow 2.7 e versões anteriores.
Detalhe técnico
Um atacante pode criar um GraphDef malicioso dentro de um SavedModel que dispara o tratamento inadequado de estados de erro do StatusOr, causando negação de serviço através do encerramento do processo. A vulnerabilidade existe na lógica de extração de valores do StatusOr onde condições de erro não são adequadamente validadas antes da extração forçada, afetando versões do TensorFlow anteriores a 2.7.1 e 2.8.0.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Tensorflow is an Open Source Machine Learning Framework. A `GraphDef` from a TensorFlow `SavedModel` can be maliciously altered to cause a TensorFlow process to crash due to encountering a `StatusOr` value that is an error and forcibly extracting the value from it. We have patched the issue in multiple GitHub commits and these will be included in TensorFlow 2.8.0 and TensorFlow 2.7.1, as both are affected.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
tensorflow · tensorflowQuer saber se a sua infraestrutura está exposta a isto?
Falar com a TrueHacking →Referências
https://github.com/tensorflow/tensorflow/blob/274df9b02330b790aa8de1cee164b70f72b9b244/tensorflow/core/graph/graph.cc#L560-L567https://github.com/tensorflow/tensorflow/commit/955059813cc325dc1db5e2daa6221271406d4439https://github.com/tensorflow/tensorflow/security/advisories/GHSA-pqrv-8r2f-7278