🇰🇷 한글 설명
TensorFlow Lite의 concatenation 구현에서 정수 오버플로 취약점이 발견되었습니다. 공격자가 텐서 차원 값이 int 범위를 초과하도록 모델을 설계할 경우, TF의 int64와 TFLite의 int 간의 차이로 인해 오버플로가 발생할 수 있습니다.
💡 쉬운 설명
머신러닝 모델을 처리할 때 숫자가 너무 커져서 계산 오류가 발생하는 문제입니다. 특수하게 제작된 모델을 불러오면 시스템이 예상치 못한 동작을 할 수 있습니다.
🇺🇸 원문 (English)
TensorFlow is an end-to-end open source platform for machine learning. The TFLite implementation of concatenation is vulnerable to an integer overflow issue(https://github.com/tensorflow/tensorflow/blob/7b7352a724b690b11bfaae2cd54bc3907daf6285/tensorflow/lite/kernels/concatenation.cc#L70-L76). An attacker can craft a model such that the dimensions of one of the concatenation input overflow the values of `int`. TFLite uses `int` to represent tensor dimensions, whereas TF uses `int64`. Hence, valid TF models can trigger an integer overflow when converted to TFLite format. The fix will be included in TensorFlow 2.5.0. We will also cherrypick this commit on TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 and TensorFlow 2.1.4, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.5.0 미만 버전 (2.4.2, 2.3.3, 2.2.3, 2.1.4 포함)
⚔️ 공격 벡터
정수 오버플로를 유발하도록 설계된 악의적인 TensorFlow 모델을 TFLite로 변환하거나 로드함
🛡️ 대응 방법
TensorFlow를 2.5.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.5.0 미만인지 확인하십시오.
python3 -c 'import tensorflow as tf; print(tf.__version__)'