🇰🇷 한글 설명
오픈 소스 머신러닝 프레임워크인 TensorFlow에서 발생하는 취약점입니다. 악의적인 사용자가 SavedModel을 조작하여 function.cc의 어설션(assertion)을 위반하게 함으로써 Python 인터프리터를 충돌시키고 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
조작된 머신러닝 모델 파일을 불러올 경우 프로그램이 갑자기 멈추거나 꺼질 수 있는 문제입니다. 이를 통해 시스템의 정상적인 작동을 방해할 수 있습니다.
🇺🇸 원문 (English)
Tensorflow is an Open Source Machine Learning Framework. A malicious user can cause a denial of service by altering a `SavedModel` such that assertions in `function.cc` would be falsified and crash the Python interpreter. The fix will be included in TensorFlow 2.8.0. We will also cherrypick this commit on TensorFlow 2.7.1, TensorFlow 2.6.3, and TensorFlow 2.5.3, as these are also affected and still in supported range.
📍 영향받는 시스템
TensorFlow 2.8.0 미만 버전 (2.7.1, 2.6.3, 2.5.3 포함)
⚔️ 공격 벡터
조작된 SavedModel 파일을 로드하여 Python 인터프리터의 어설션을 강제로 위반시킴
🛡️ 대응 방법
TensorFlow를 2.8.0 이상 버전으로 업데이트하거나, 지원되는 버전(2.7.1, 2.6.3, 2.5.3)의 보안 패치 버전을 적용
🔧 검증 코드
출력된 버전 번호가 2.8.0 미만인지 확인하여 취약 여부를 판단합니다.
python3 -c 'import tensorflow as tf; print(tf.__version__)'