详情

Google TensorFlow是美国谷歌（Google）公司的一套用于机器学习的端到端开源平台。它拥有一个全面而灵活的生态系统，其中包含各种工具、库和社区资源，可助力研究人员推动先进机器学习技术的发展，并使开发者能够轻松地构建和部署由机器学习提供支持的应用。例如，著名Alphago，谷歌大脑就是基于TensorFlow实现的。不过，TensorFlow机器学习平台最近爆出了多个重要漏洞(部分是先前遗留未修复的)，需要尽快升级。以下是漏洞详情:

漏洞详情

-2020-15202 （官方暂未给定严重程度，下同）

TensorFlow中的`Shard` API期望最后一个参数是一个带有两个`int64'的函数（即long long `）参数。但是，在TensorFlow中有好几个地方都在使用带有int或int32参数的lambda。在这些情况下，如果要并行化的工作量足够大，则会发生整数截断。根据lambda的两个参数的使用方式，这可能导致段错误，在堆分配的数组之外进行读/写，堆栈溢出或数据损坏。

受影响产品和版本

此漏洞影响Tensorflow 、、、和之前的版本

解决方案

升级到TensorFlow 、、、或可修复漏洞。

-2020-15198

该漏洞源于SparseCountSparseOutput实现无法验证输入参数是否形成有效的稀疏张量，该漏洞允许攻击者访问超出堆分配缓冲区的范围。

受影响产品和版本

此漏洞影响Tensorflow 版本

解决方案

升级到可修复。

-2020-15194

该漏洞源于SparseFillEmptyRowsGrad实现对其参数形状的验证不完全，该漏洞允许攻击者可以传递错误的grad_values_t来触发vec中的断言失败，从而导致服务安装中的服务被拒绝。