🇰🇷 한글 설명
TensorFlow의 `tf.raw_ops.FractionalAvgPoolGrad` 구현에서 힙 버퍼 오버플로우 취약점이 발견되었습니다. 풀링 시퀀스 인자가 `out_backprop` 텐서 형상에 필요한 충분한 요소를 가지고 있는지 검증하지 못해 발생합니다.
💡 쉬운 설명
머신러닝 도구인 TensorFlow에서 데이터를 처리할 때 메모리 공간을 넘어서는 데이터를 입력할 수 있는 오류가 있습니다. 이로 인해 프로그램이 비정상적으로 종료되거나 보안 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
TensorFlow is an end-to-end open source platform for machine learning. The implementation of `tf.raw_ops.FractionalAvgPoolGrad` is vulnerable to a heap buffer overflow. The implementation(https://github.com/tensorflow/tensorflow/blob/dcba796a28364d6d7f003f6fe733d82726dda713/tensorflow/core/kernels/fractional_avg_pool_op.cc#L216) fails to validate that the pooling sequence arguments have enough elements as required by the `out_backprop` tensor shape. The fix will be included in TensorFlow 2.5.0. We will also cherrypick this commit on TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 and TensorFlow 2.1.4, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.5.0 미만 버전 (2.4.2, 2.3.3, 2.2.3, 2.1.4 포함)
⚔️ 공격 벡터
조작된 풀링 시퀀스 인자를 포함한 TensorFlow 연산 실행
🛡️ 대응 방법
TensorFlow를 2.5.0 이상의 최신 버전으로 업데이트하거나 해당 패치가 적용된 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 2.5.0보다 낮으면 취약한 상태입니다.
python3 -c 'import tensorflow as tf; print(tf.__version__)'