CVE-2020-26267
Vulnérabilité moyenne dans tensorflow (tensorflow)
CVSS 4.4 · Moyenne
EPSS 0.2%
tensorflow•tensorflow•Versions : >= 2.1.0, < 2.1.3, < 1.15.5, >= 2.3.0, < 2.3.2, >= 2.0.0, < 2.0.4, >= 2.2.0, < 2.2.2
Description
In affected versions of TensorFlow the tf.raw_ops.DataFormatVecPermute API does not validate the src_format and dst_format attributes. The code assumes that these two arguments define a permutation of NHWC. This can result in uninitialized memory accesses, read outside of bounds and even crashes. This is fixed in versions 1.15.5, 2.0.4, 2.1.3, 2.2.2, 2.3.2, and 2.4.0.
Gravité et risque d'exploitation
CVE-2020-26267 obtient un score CVSS de 4.4/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.24 %, ce qui la place devant 14.5 % des CVE référencées.
Que faire ?
- Vérifiez si tensorflow (versions >= 2.1.0, < 2.1.3, < 1.15.5, >= 2.3.0, < 2.3.2, >= 2.0.0, < 2.0.4, >= 2.2.0, < 2.2.2) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.