TensorFlow bis 1.15.3/2.0.2/2.1.1/2.2.0/2.3.0 SparseFillEmptyRowsGrad Pufferüberlauf
CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
---|---|---|
7.0 | $0-$5k | 0.00 |
Es wurde eine kritische Schwachstelle in TensorFlow bis 1.15.3/2.0.2/2.1.1/2.2.0/2.3.0 (Artificial Intelligence Software) entdeckt. Es betrifft die Funktion SparseFillEmptyRowsGrad
. Durch die Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-122 vorgenommen. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:
In Tensorflow before versions 1.15.4, 2.0.3, 2.1.2, 2.2.1 and 2.3.1, the implementation of `SparseFillEmptyRowsGrad` uses a double indexing pattern. It is possible for `reverse_index_map(i)` to be an index outside of bounds of `grad_values`, thus resulting in a heap buffer overflow. The issue is patched in commit 390611e0d45c5793c7066110af37c8514e6a6c54, and is released in TensorFlow versions 1.15.4, 2.0.3, 2.1.2, 2.2.1, or 2.3.1.
Die Schwachstelle wurde am 25.09.2020 (GitHub Repository) publik gemacht. Das Advisory kann von github.com heruntergeladen werden. Die Verwundbarkeit wird seit dem 25.06.2020 unter CVE-2020-15195 geführt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist eine einfache Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.
Ein Upgrade auf die Version 1.15.4, 2.0.3, 2.1.2, 2.2.1 oder 2.3.1 vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 390611e0d45c5793c7066110af37c8514e6a6c54 beheben. Als bestmögliche Massnahme wird das Aktualisieren auf eine neue Version empfohlen.
Produkt
Typ
Name
Version
Lizenz
CPE 2.3
CPE 2.2
CVSSv4
VulDB CVSS-B Score: 🔍VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 7.9VulDB Meta Temp Score: 7.5
VulDB Base Score: 7.4
VulDB Temp Score: 6.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 8.5
NVD Vector: 🔍
CVSSv2
AV | AC | Au | C | I | A |
---|---|---|---|---|---|
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
---|---|---|---|---|---|
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
Exploiting
Klasse: PufferüberlaufCWE: CWE-122 / CWE-119
CAPEC: 🔍
ATT&CK: 🔍
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
0-Day | freischalten | freischalten | freischalten | freischalten |
---|---|---|---|---|
Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: UpgradeStatus: 🔍
0-Day Time: 🔍
Upgrade: TensorFlow 1.15.4/2.0.3/2.1.2/2.2.1/2.3.1
Patch: 390611e0d45c5793c7066110af37c8514e6a6c54
Timeline
25.06.2020 🔍25.09.2020 🔍
26.09.2020 🔍
14.11.2020 🔍
Quellen
Advisory: github.comStatus: Nicht definiert
Bestätigung: 🔍
CVE: CVE-2020-15195 (🔍)
Eintrag
Erstellt: 26.09.2020 07:23Aktualisierung: 14.11.2020 12:11
Anpassungen: 26.09.2020 07:23 (40), 26.09.2020 07:28 (12), 14.11.2020 12:02 (1), 14.11.2020 12:11 (1)
Komplett: 🔍
Cache ID: 3:EF3:103
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.