CVE-2022-23590: falha de média gravidade em tensorflow
Crash due to erroneous `StatusOr` in Tensorflow
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Um SavedModel do TensorFlow modificado maliciosamente pode derrubar um processo TensorFlow ao forçar a extração de um valor de erro de um objeto StatusOr. Isso afeta aplicações que usam TensorFlow 2.7 e versões anteriores.
Um atacante pode criar um GraphDef malicioso dentro de um SavedModel que dispara o tratamento inadequado de estados de erro do StatusOr, causando negação de serviço através do encerramento do processo. A vulnerabilidade existe na lógica de extração de valores do StatusOr onde condições de erro não são adequadamente validadas antes da extração forçada, afetando versões do TensorFlow anteriores a 2.7.1 e 2.8.0.
No mesmo produto, das mais perigosas para as menos.