🇰🇷 한글 설명
TensorFlow의 특정 버전에서 TFLite 모델을 조작하여 Null 포인터 역참조를 유발할 수 있는 취약점이 발견되었습니다. 이로 인해 시스템이 충돌하고 서비스 거부(DoS) 상태가 발생할 수 있습니다.
💡 쉬운 설명
악의적으로 만들어진 인공지능 모델 파일을 실행하면 프로그램이 갑자기 꺼져버리는 문제입니다. 이로 인해 서비스가 중단되어 정상적인 이용이 어려워질 수 있습니다.
🇺🇸 원문 (English)
TensorFlow is an end-to-end open source platform for machine learning. In affected versions an attacker can craft a TFLite model that would trigger a null pointer dereference, which would result in a crash and denial of service. The [implementation](https://github.com/tensorflow/tensorflow/blob/149562d49faa709ea80df1d99fc41d005b81082a/tensorflow/lite/kernels/internal/optimized/optimized_ops.h#L268-L285) unconditionally dereferences a pointer. We have patched the issue in GitHub commit 15691e456c7dc9bd6be203b09765b063bf4a380c. The fix will be included in TensorFlow 2.6.0. We will also cherrypick this commit on TensorFlow 2.5.1, TensorFlow 2.4.3, and TensorFlow 2.3.4, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.6.0 미만 버전 (2.5.1, 2.4.3, 2.3.4 포함)
⚔️ 공격 벡터
조작된 TFLite 모델 파일을 시스템에 로드하여 Null 포인터 역참조 유도
🛡️ 대응 방법
TensorFlow를 2.6.0 이상의 최신 버전으로 업데이트하거나 보안 패치가 적용된 버전으로 업그레이드
🔧 검증 코드
출력된 버전 번호가 2.6.0 이상인지 확인하여 취약 여부를 판단합니다.
python3 -c 'import tensorflow as tf; print(tf.__version__)'