TensorFlow của Google ngừng hỗ trợ YAML để vá lỗi thực thi mã nghiêm trọng

Thảo luận trong 'Tin tức An ninh mạng' bắt đầu bởi Ginny Hà, 06/09/21, 03:09 PM.

  1. Ginny Hà

    Ginny Hà WhiteHat Support

    Tham gia: 04/06/14, 02:06 PM
    Bài viết: 628
    Đã được thích: 85
    Điểm thành tích:
    48
    TensorFlow - dự án học máy và trí tuệ nhân tạo dựa trên Python do Google phát triển đã ngừng hỗ trợ YAML để vá lỗ hổng thực thi mã nghiêm trọng.
    tensor.png
    YAML (Yet Another Markup Language) là lựa chọn thuận tiện cho các nhà phát triển muốn tìm kiếm một ngôn ngữ tuần tự hóa dữ liệu đọc được để xử lý các tệp cấu hình và dữ liệu đang chuyển tiếp.
    Đội ngũ TensorFlow và Keras vừa vá lỗ hổng giải mã không tin cậy xuất phát từ việc phân tích cú pháp YAML không an toàn. Lỗ hổng nghiêm trọng CVE-2021-37678, cho phép hacker thực thi mã tùy ý khi ứng dụng giải mã trên model Keras được cung cấp ở định dạng YAML.
    Các lỗ hổng giải mã thường xảy ra khi một ứng dụng đọc dữ liệu không đúng định dạng hoặc độc hại từ các nguồn không xác thực.
    Sau khi một ứng dụng đọc và giải mã dữ liệu, sẽ xảy ra lỗi dẫn đến tình trạng Từ chối Dịch vụ (DoS) hoặc tệ hơn, cho phép hacker thực thi mã tùy ý.
    Lỗ hổng được đánh giá 9,3 về mức độ nghiêm trọng, đã được nhà nghiên cứu Arjun Shibu báo cáo với TensorFlow trước đó.
    Sau khi nhận được thông tin, TensorFlow đã quyết định ngừng hỗ trợ YAML và thay vào đó sử dụng tính năng giải mã JSON.
    TensorFlow không phải dự án đầu tiên hoặc duy nhất được phát hiện sử dụng secure_load của YAML. Việc sử dụng hàm này khá phổ biến trong các dự án Python.
    Bản sửa lỗi cho CVE-2021-37678 dự kiến sẽ có trong TensorFlow phiên bản 2.6.0 và sẽ được hỗ trợ trở lại vào các phiên bản 2.5.1, 2.4.3 và 2.3.4 trước đó.
    Nguồn: Bleeping Computer
     
    Chỉnh sửa cuối: 07/09/21, 04:09 PM
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  1. WhiteHat Team
  2. whf
  3. WhiteHat Team
  4. Ginny Hà