CVE-2021-37678
严重已发布
YAML 反序列化导致的任意代码执行
- 已发布
- 2021年8月12日
- 已更新
- 2024年8月4日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
9.3/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H0.4%
低 · 未来 30 天
- 百分位
- 38.2%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
TensorFlow 是一个用于机器学习的端到端开源平台。在受影响的版本中，当从 YAML 格式反序列化 Keras 模型时，TensorFlow 和 Keras 可能被诱骗执行任意代码。[实现](https://github.com/tensorflow/tensorflow/blob/460e000de3a83278fb00b61a16d161b1964f15f4/tensorflow/python/keras/saving/model_config.py#L66-L104) 使用了 `yaml.unsafe_load`，它可以在输入上执行任意代码。鉴于支持 YAML 格式需要大量的工作，我们目前已将其移除。我们已在 GitHub 提交 23d6383eb6c14084a8fc3bdf164043b974818012 中修复了该问题。该修复将包含在 TensorFlow 2.6.0 中。我们还将把这个提交移植到 TensorFlow 2.5.1、TensorFlow 2.4.3 和 TensorFlow 2.3.4 上，因为这些版本同样受影响且仍在支持范围内。
来源
1UTN FRBA 2021 信息安全实践作业
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。