为修复一个代码执行安全漏洞，TensorFlow决定不再支持YAML

2024-06-09 11:26:15

TensorFlow是谷歌开发的基于Python的机器学习和人工智能项目。为修复一个代码执行安全漏洞，TensorFlow决定不再支持YAML。YAML（Yet Another Markup Language）是一个可读性高，用来表达数据序列化的格式。YAML参考了其他多种语言，包括C语言、Python、Perl，并从XML、电子邮件的数据格式。

CVE-2021-37678：TensorFlow不可信反序列化漏洞

安全研究人员Arjun Shibu在TensorFlow和Keras中发现了一个安全漏洞——CVE-2021-37678。该漏洞是由于不安全处理YAML引发的不可信反序列化漏洞，攻击者利用该漏洞可以在应用反序列化YAML格式中的Keras模型时执行任意代码。该YAML反序列化漏洞CVSS 评分为9.3分。反序列化漏洞主要发生于应用从不可信的源读取伪造的或恶意数据的情况。应用在读取和反序列化数据后，可能会引发DoS攻击条件甚至执行攻击者的任意代码。

漏洞来源于TensorFlow的yaml.unsafe_load()函数：

TensorFlow中有漏洞的yaml.unsafe_load()函数调用

unsafe_load函数的作用是反序列化YAML数据，该函数会解析所有的标签，包括来自不安全或不可信的输入。理想情况下，unsafe_load函数只有在输入来源于可信源时被调用。但攻击者利用通过在已经序列化的YAML数据中注入恶意payload来利用该机制执行代码。

该漏洞的PoC利用代码如下所示：

from tensorflow.keras import modelspayload = '''
!!python/object/new:type
args: ['z', !!python/tuple [], {'extend': !!python/name:exec }]
listitems: "__import__('os').system('cat /etc/passwd')"
'''models.model_from_yaml(payload)

TensorFlow不再支持YAML

该漏洞提交后，TensorFlow决定启用YAML支持，并使用JSON反序列化。

但TensorFlow并不是唯一使用YAML unsafe_load的项目，该函数被广泛应用于Python项目中。GitHub显示有上千个引用该函数的搜索结果，目前已经有开发者提出了解决方案：
![ GitHub上使用unsafe_load的检索结果

目前，TensorFlow也已发布了该漏洞的补丁，受影响的版本和修复版本如下所示：](https://img-blog.csdnimg.cn/4885222dbadf4a3784552f9702935d66.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBASEJvaGFu,size_20,color_FFFFFF,t_70,g_se,x_16)

【网安学习资料】

为修复一个代码执行安全漏洞，TensorFlow决定不再支持YAML相关推荐

Drupal 修复远程代码执行漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队周三,Drupal 内容管理系统 (CMS) 发布更新,修复了和不正确清理所上传文件名称有关的一个远程代码执行漏洞 (CVE-2020 ...
Android APP代码执行历史漏洞与攻击面分析
文章目录前言错误的反射调用漏洞根源分析漏洞防御建议反射调用思考 CVE-2020-8913 漏洞根源分析动态加载Dex "寄生兽"漏洞 TikTok APP漏洞代码执 ...
IE浏览器远程代码执行高危漏洞(CVE-2019-1367)
IE浏览器远程代码执行高危漏洞(CVE-2019-1367)加固遇到的问题一.背景介绍 Internet Explorer,是微软公司推出的一款网页浏览器.用户量极大.9月23日微软紧急发布安全更新 ...
Windows RDP远程代码执行高危漏洞加固指南
漏洞信息序号漏洞类型风险等级漏洞主机( 操作系统及版本) 1 Windows RDP远程代码执行高危漏洞高 Windows 2. 漏洞加固实施漏洞1:Windows RDP远程代码 ...
Fastjson 爆出远程代码执行高危漏洞，更新版本已修复
漏洞介绍 fastjson在1.2.24以及之前版本近日曝出代码执行漏洞,当用户提交一个精心构造的恶意的序列化数据到服务器端时,fastjson在反序列化时存在漏洞,可导致远程任意代码执行漏洞. 风险 ...
西门子修复热门 CAD 库中的多个代码执行高危漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士本周二,西门子发布安全公告,通知客户称其 Solid Edge 产品受多个高危漏洞影响,这些漏洞是由很多其它组织机构都在使用的第四方软件引 ...
Python 紧急修复远程代码执行漏洞
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 Python 软件基金会 (PSF) 紧急推出 Python 3.9.2 和 3.8.8 稳定版,解决两个严重的安全缺陷,其中一个从理 ...
火狐浏览器服务器意外响应,Firefox 火狐浏览器 83 发布，已修复任意代码执行漏洞...
火狐浏览器 (Mozilla Firefox)是 Mozilla 基金会的产品 , 它是一款开源 Web 浏览器 , 引擎反应快 , 内存占用少.Firefox 从 2005 年开始,每年都被媒体选为 ...
php定时执行代码漏洞_在CTF比赛中发现的PHP远程代码执行0day漏洞
众所周知,CTF比赛都是人为构造漏洞环境,人为制造安全漏洞,供安全从爱好者研究,好磨练和增强自己的安全技能. 参加CTF比赛,通常你需要明白出题人的想法,按照出题人的意图来解开谜题. 但是,就像所有的 ...

最新文章

热门文章