攻击者可利用该漏洞实现任意代码执行。
一、漏洞情况
近日，谷歌发布了Google TensorFlow存在任意代码执行漏洞的风险通告，该漏洞CVE编号：CVE-2021-37678。攻击者可利用该漏洞实现任意代码执行。目前厂商已修复该漏洞，建议受影响用户及时升级至安全版本进行防护，做好资产自查以及预防工作，以免遭受黑客攻击。
二、漏洞等级
三、漏洞描述
Google TensorFlow是美国谷歌（Google）公司的一套用于机器学习的端到端开源平台。
该漏洞源于产品从YAML格式反序列化Keras模型时未对输入数据做有效验证，攻击者可利用该漏洞实现任意代码执行。
四、影响范围
Google TensorFlow 2.5.1
Google TensorFlow 2.4.3
Google TensorFlow 2.3.4
五、安全建议
建议受影响的用户尽快升级至TensorFlow 2.6.0或更高版本。
参考链接：
https://github.com/tensorflow/tensorflow/security/advisories/GHSA-r6jx-9g48-2r5r
六、参考链接
https://github.com/tensorflow/tensorflow/commit/23d6383eb6c14084a8fc3bdf164043b974818012
支持单位：
北京奇虎科技有限公司
声明：本文来自网络安全威胁和漏洞信息共享平台，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 [email protected]。
相关资讯