Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el tamaño de la salida dentro del núcleo "tf.range" en TensorFlow (CVE-2021-41202)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
05/11/2021
Última modificación:
09/11/2021

Descripción

TensorFlow es una plataforma de código abierto para el aprendizaje automático. En las versiones afectadas, mientras se calcula el tamaño de la salida dentro del núcleo "tf.range", se presenta una sentencia condicional de tipo "int64 = condición ? int64 : double". Debido a las reglas de conversión implícitas de C++, ambas ramas de la condición se convertirán en "double" y el resultado se truncará antes de la asignación. Esto resulta en desbordamientos. La corrección será incluida en TensorFlow versión 2.7.0. También será incluida este commit en TensorFlow versión 2.6.1, TensorFlow versión 2.5.2, y TensorFlow versión 2.4.4, ya que estos también están afectados y todavía están en el rango admitido

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:google:tensorflow:*:*:*:*:*:*:*:* 2.4.0 (incluyendo) 2.4.4 (excluyendo)
cpe:2.3:a:google:tensorflow:*:*:*:*:*:*:*:* 2.5.0 (incluyendo) 2.5.2 (excluyendo)
cpe:2.3:a:google:tensorflow:*:*:*:*:*:*:*:* 2.6.0 (incluyendo) 2.6.1 (excluyendo)
cpe:2.3:a:google:tensorflow:2.7.0:rc0:*:*:*:*:*:*
cpe:2.3:a:google:tensorflow:2.7.0:rc1:*:*:*:*:*:*