一、漏洞情况

近日,谷歌发布了Google TensorFlow存在任意代码执行漏洞的风险通告,该漏洞CVE编号:CVE-2021-37678。攻击者可利用该漏洞实现任意代码执行。目前厂商已修复该漏洞,建议受影响用户及时升级至安全版本进行防护,做好资产自查以及预防工作,以免遭受黑客攻击。

二、漏洞等级

高危

三、漏洞描述

Google TensorFlow是美国谷歌(Google)公司的一套用于机器学习的端到端开源平台。

该漏洞源于产品从YAML格式反序列化Keras模型时未对输入数据做有效验证,攻击者可利用该漏洞实现任意代码执行。

四、影响范围

  • Google TensorFlow 2.5.1
  • Google TensorFlow 2.4.3
  • Google TensorFlow 2.3.4

五、安全建议

建议受影响的用户尽快升级至TensorFlow 2.6.0或更高版本。

参考链接:

https://github.com/tensorflow/tensorflow/security/advisories/GHSA-r6jx-9g48-2r5r

六、参考链接

https://github.com/tensorflow/tensorflow/commit/23d6383eb6c14084a8fc3bdf164043b974818012