🇰🇷 한글 설명
TensorFlow의 부스트 트리(boosted trees) 코드에서 입력값 검증이 누락되어 발생하는 취약점입니다. 공격자는 이를 통해 서비스 거부(DoS)를 유발하거나, 힙 버퍼의 데이터를 읽고 쓰는 등 정의되지 않은 동작을 악용할 수 있습니다.
💡 쉬운 설명
머신러닝 도구인 TensorFlow의 특정 기능에 보안 구멍이 있어, 잘못된 데이터를 보내 프로그램이 멈추게 하거나 정보를 빼낼 수 있습니다. 이 기능은 현재 관리가 되지 않는 오래된 기능이므로 사용을 피하는 것이 좋습니다.
🇺🇸 원문 (English)
TensorFlow is an open source platform for machine learning. In affected versions the code for boosted trees in TensorFlow is still missing validation. As a result, attackers can trigger denial of service (via dereferencing `nullptr`s or via `CHECK`-failures) as well as abuse undefined behavior (binding references to `nullptr`s). An attacker can also read and write from heap buffers, depending on the API that gets used and the arguments that are passed to the call. Given that the boosted trees implementation in TensorFlow is unmaintained, it is recommend to no longer use these APIs. We will deprecate TensorFlow's boosted trees APIs in subsequent releases. The fix will be included in TensorFlow 2.7.0. We will also cherrypick this commit on TensorFlow 2.6.1, TensorFlow 2.5.2, and TensorFlow 2.4.4, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.7.0 미만 버전 (2.6.1, 2.5.2, 2.4.4 포함)
⚔️ 공격 벡터
검증되지 않은 인자를 포함한 API 호출을 통한 메모리 오염 및 조작
🛡️ 대응 방법
TensorFlow를 2.7.0 이상 버전으로 업데이트하거나, 취약한 부스트 트리 API 사용을 중단하십시오.
🔧 검증 코드
출력된 버전 번호가 2.7.0 미만인지 확인하십시오.
python3 -c 'import tensorflow as tf; print(tf.__version__)'