🇰🇷 한글 설명
TensorFlow의 여러 연산에서 텐서 인자의 형상(shape)에 대한 검증이 누락되었습니다. 이로 인해 정의되지 않은 동작, 세그먼테이션 오류(segfault) 또는 크래시가 발생할 수 있으며, 특정 시나리오에서는 힙 메모리의 읽기 및 쓰기가 가능할 수 있습니다.
💡 쉬운 설명
머신러닝 도구인 TensorFlow가 데이터의 크기를 제대로 확인하지 않아 프로그램이 갑자기 꺼지거나 메모리 오류가 발생할 수 있습니다. 해커가 이를 악용하면 컴퓨터의 메모리 영역에 잘못된 데이터를 쓰고 읽는 것이 가능해질 수 있습니다.
🇺🇸 원문 (English)
TensorFlow is an open source platform for machine learning. In affected versions several TensorFlow operations are missing validation for the shapes of the tensor arguments involved in the call. Depending on the API, this can result in undefined behavior and segfault or `CHECK`-fail related crashes but in some scenarios writes and reads from heap populated arrays are also possible. We have discovered these issues internally via tooling while working on improving/testing GPU op determinism. As such, we don't have reproducers and there will be multiple fixes for these issues. These fixes will be included in TensorFlow 2.7.0. We will also cherrypick these commits on TensorFlow 2.6.1, TensorFlow 2.5.2, and TensorFlow 2.4.4, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.7.0 미만 버전 (2.6.1, 2.5.2, 2.4.4 포함)
⚔️ 공격 벡터
조작된 텐서 형상을 포함한 API 호출을 통한 메모리 오염 공격
🛡️ 대응 방법
TensorFlow를 2.7.0 이상 버전으로 업데이트하거나, 지원되는 버전(2.6.1, 2.5.2, 2.4.4)의 최신 패치 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.7.0 미만인지 확인하여 취약 여부를 판단합니다.
python3 -c 'import tensorflow as tf; print(tf.__version__)'