阿里云漏洞库

中危 Google TensorFlow 代码问题漏洞（CVE-2022-41889）

CVE编号

CVE-2022-41889

利用情况

暂无

补丁情况

官方补丁

披露时间

2022-11-18

漏洞描述

Google TensorFlow是美国谷歌（Google）公司的一套用于机器学习的端到端开源平台。

Google TensorFlow 2.11 版本，2.10.1 版本之前的 2.10.x 版本，2.9.3 版本之前的 2.9.x 版本，2.8.4 版本之前的 2.8.x 版本存在代码问题漏洞，该漏洞源于如果将量化张量列表分配给属性，则 pywrap 代码无法解析张量并返回未捕获的“nullptr”。通过传入量化张量作为输入“ksizes”，可以在“tf.compat.v1.extract_volume_patches”中看到一个示例。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/tensorflow/tensorflow/security/advisories/GHSA-xxcj-rhqg-m46g

参考链接
https://cxsecurity.com/cveshow/CVE-2022-41889/
https://github.com/tensorflow/tensorflow/blob/master/tensorflow/core/kernels/...
https://github.com/tensorflow/tensorflow/commit/e9e95553e5411834d215e6770c81a...
https://github.com/tensorflow/tensorflow/security/advisories/GHSA-xxcj-rhqg-m46g

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	google	tensorflow	*		Up to (excluding) 2.8.4
	运行在以下环境
	应用	google	tensorflow	*	From (including) 2.10.0	Up to (excluding) 2.10.1
	运行在以下环境
	应用	google	tensorflow	*	From (including) 2.9.0	Up to (excluding) 2.9.3

攻击路径

远程
攻击复杂度

复杂
权限要求

无需权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-476	空指针解引用

中危 Google TensorFlow 代码问题漏洞（CVE-2022-41889）

漏洞描述

解决建议

参考链接

受影响软件情况