Heimdall Security Logo

CVE-2020-15203

Vulnérabilité élevée dans tensorflow (tensorflow)

CVSS 7.5 · Élevée
EPSS 1.0%
tensorflow•tensorflow•Versions : >= 2.0.0, < 2.0.3, >= 2.3.0, < 2.3.1, >= 2.1.0, < 2.1.2, >= 2.2.0, < 2.2.1, < 1.15.4

Description

In Tensorflow before versions 1.15.4, 2.0.3, 2.1.2, 2.2.1 and 2.3.1, by controlling the `fill` argument of tf.strings.as_string, a malicious attacker is able to trigger a format string vulnerability due to the way the internal format use in a `printf` call is constructed. This may result in segmentation fault. The issue is patched in commit 33be22c65d86256e6826666662e40dbdfe70ee83, and is released in TensorFlow versions 1.15.4, 2.0.3, 2.1.2, 2.2.1, or 2.3.1.

Gravité et risque d'exploitation

CVE-2020-15203 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.97 %, ce qui la place devant 61.1 % des CVE référencées.

Que faire ?

  • Vérifiez si tensorflow (versions >= 2.0.0, < 2.0.3, >= 2.3.0, < 2.3.1, >= 2.1.0, < 2.1.2, >= 2.2.0, < 2.2.1, < 1.15.4) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE