CVE-2020-5215 in TensorFlow
Zusammenfassung
von VulDB • 26.05.2026
In TensorFlow vor Version 1.15.2 und 2.0.1 führt die Konvertierung eines Strings (aus Python) in einen tf.float16-Wert zu einem Segmentation Fault im Eager-Modus, da die Formatprüfungen für diesen Anwendungsfall nur im Graph-Modus vorhanden sind. Dieses Problem kann zu einem Denial of Service (DoS) beim Inferencing/Training führen, wobei ein böswilliger Angreifer einen Datenpunkt senden kann, der einen String anstelle eines tf.float16-Werts enthält. Ähnliche Effekte können durch Manipulieren von gespeicherten Modellen und Checkpoints erzielt werden, wobei das Ersetzen eines skalaren tf.float16-Werts durch einen skalaren String dieses Problem aufgrund automatischer Konvertierungen auslöst. Dies lässt sich leicht mit tf.constant("hello", tf.float16) reproduzieren, wenn die Eager-Ausführung aktiviert ist. Dieses Problem wurde in TensorFlow 1.15.1 und 2.0.1 behoben. TensorFlow 2.1.0 wurde nach der Behebung des Problems veröffentlicht, daher ist es nicht betroffen. Benutzer werden ermutigt, auf TensorFlow 1.15.1, 2.0.1 oder 2.1.0 zu wechseln.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.