🇰🇷 한글 설명
TensorFlow의 ParseAttrValue 구현 과정에서 특수하게 조작된 입력을 처리할 때 재귀 호출로 인한 스택 오버플로가 발생할 수 있습니다. 이 취약점은 TensorFlow 2.5.0 및 특정 지원 버전(2.4.2, 2.3.3, 2.2.3, 2.1.4)에 패치가 적용되었습니다.
💡 쉬운 설명
머신러닝 도구인 TensorFlow가 잘못된 데이터를 받았을 때 내부적으로 무한 루프와 유사한 동작을 반복하다가 프로그램이 멈추거나 오류가 날 수 있는 문제입니다. 공격자가 정교하게 만든 데이터를 입력하면 시스템에 과부하를 줄 수 있습니다.
🇺🇸 원문 (English)
TensorFlow is an end-to-end open source platform for machine learning. The implementation of `ParseAttrValue`(https://github.com/tensorflow/tensorflow/blob/c22d88d6ff33031aa113e48aa3fc9aa74ed79595/tensorflow/core/framework/attr_value_util.cc#L397-L453) can be tricked into stack overflow due to recursion by giving in a specially crafted input. The fix will be included in TensorFlow 2.5.0. We will also cherrypick this commit on TensorFlow 2.4.2, TensorFlow 2.3.3, TensorFlow 2.2.3 and TensorFlow 2.1.4, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.5.0 미만 버전 (2.4.2, 2.3.3, 2.2.3, 2.1.4 포함)
⚔️ 공격 벡터
특수하게 조작된 속성 값을 포함한 입력 데이터를 TensorFlow 모델에 전달
🛡️ 대응 방법
TensorFlow를 2.5.0 이상 버전으로 업데이트하거나 해당 패치가 적용된 지원 버전으로 업데이트
🔧 검증 코드
출력된 버전이 2.5.0 미만이거나 패치된 특정 버전(2.4.2, 2.3.3, 2.2.3, 2.1.4)보다 낮으면 취약함
pip show tensorflow | grep Version