01
漏洞描述
ensorFlow由谷歌人工智能团队谷歌大脑（Google Brain）开发和维护，拥有包括TensorFlow Hub、TensorFlow Lite、TensorFlow Research Cloud在内的多个项目以及各类应用程序接口（Application Programming Interface, API）。自2015年11月9日起，TensorFlow依据阿帕奇授权协议（Apache 2.0 open source license）开放源代码。
TensorFlow中的多个操作可用于通过CHECK-fails 触发拒绝服务（即断言失败）。这类似于TFSA-2021-198( CVE-2021-41197 ) 并具有类似的修复程序。TensorFlow 允许张量具有大量维度，并且每个维度可以任意大。但是，张量中的元素总数必须在int64_t. 如果发生溢出，MultiplyWithoutOverflow将返回否定结果。在大多数 TensorFlow 代码库中，这会导致CHECK-failure存在较新的构造，它们返回aStatus而不是使二进制文件崩溃。
02 漏洞危害
TensorFlow存在拒绝访问漏洞，攻击者可利用该漏洞对目标发起拒绝服务攻击。
03
影响范围
Google TensorFlow <2.8.0
04
漏洞等级
中危
05
修复方案
厂商已发布了漏洞修复程序，请及时关注更新：
https://github.com/tensorflow/tensorflow/security/advisories/GHSA-qj5r-f9mv-rffh
END
长按识别二维码，了解更多
原文始发于微信公众号（易东安全研究院）：【漏洞预警】Tensorflow拒绝服务漏洞（CVE-2022-23569）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论