TensorFlow 因代码执行漏洞将弃用 YAML，推荐开发者改用 JSON-低调大师

TensorFlow 因代码执行漏洞将弃用 YAML，推荐开发者改用 JSON

2021-09-07 533

Tensorflow 是一个基于 Python 的机器学习和人工智能项目，该项目由 Google 开发。近日 TensorFlow 已经放弃了对 YAML 的支持，以修复一个关键的代码执行漏洞。

YAML 或 YAML Ain't Markup Language 是一种人类可读的数据序列化语言，用于在进程和应用程序之间传递对象和存储数据，许多 Python 应用程序都使用 YAML 来序列化和反序列化对象。

该漏洞的 CVE ID 为 CVE-2021-37678。TensorFlow 和 Keras(TensorFlow 的一个封装项目)的维护者表示，该漏洞源于对 YAML 的不安全解析，漏洞会在应用程序反序列化以 YAML 格式提供的 Keras 模型时，使攻击者可以执行任意代码。反序列化漏洞通常发生在应用程序读取来自非真实来源的不良或恶意数据时。

这个 YAML 反序列化漏洞的严重程度被评为 9.3 级，由安全研究员 Arjun Shibu 报告给 TensorFlow 维护者。

这个漏洞的来源是 TensorFlow 代码中臭名昭著的 "yaml.unsafe_load()" 函数。

安全研究员 Arjun Shibu 表示，"我在 TensorFlow 中搜索了 Pickle 和 PyYAML 的反序列化模式，令人惊讶的是，我发现了对危险函数 yaml.unsafe_load() 的调用。"

众所周知，"unsafe_load" 函数可以对 YAML 数据进行相当自由的反序列化 —— 它解析了所有的标签，即使是那些不受信任的输入上已知不安全的标签。该函数直接加载 YAML 输入而不对其进行清理，这使得使用恶意代码注入数据成为可能。

序列化的使用在机器学习应用中非常普遍。训练模型是一个昂贵且缓慢的过程。因此，开发人员经常使用预先训练好的模型，这些模型已经存储在 YAML 或 TensorFlow 等 ML 库支持的其他格式中。

在该漏洞被披露后，TensorFlow 的维护者决定完全放弃对 YAML 的支持，而使用 JSON 进行反序列化。值得注意的是，TensorFlow 并不是第一个、也不是唯一一个被发现使用 YAML unsafe_load 的项目。该函数的使用在 Python 项目中是相当普遍的。

TensorFlow 的维护者表示，CVE-2021-37678 漏洞将于 TensorFlow 2.6.0 版本的更新中进行修复，并且还将被回传到之前的 2.5.1、2.4.3 和 2.3.4 版本。自年初以来，Google 已经在 TensorFlow 上修复了 100 多个安全漏洞。

本文转自OSCHINA

本文标题：TensorFlow 因代码执行漏洞将弃用 YAML，推荐开发者改用 JSON

本文地址：https://www.oschina.net/news/159014/deserialization-bug-in-tensorflow

【责任编辑：未丽燕 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202109/681076.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

数字化时代的安全发展新趋势

一、全球网络安全市场现状自从信息技术出现以来，对应的安全问题就受到广泛关注，网络安全产业的范畴也随着网络安全保障需求不断延伸而扩展。随着5G、物联网、大数据、人工智能和云计算等新技术的加速落地应用，全球已经迈入数字化时代，传统的网络边界持续瓦解，带来物联网安全、云安全、移动安全、数据安全、安全智能运维等全新的挑战。因此，知名咨询机构Gartner也拓展了网络安全的涵盖范围，将其重新定义为“数字安全”，具体是指数字化转型中的网络安全。随着网络安全一词的内涵不断延伸扩大，全球安全产业的规模也呈现出持续增长的态势。据权威市场调研机构IDC的相关报告显示，2017年全球网络安全支出为942.4亿美元，这一数字将在2023年上升到1338亿美元，2019-2023年全球网络安全支出年复合增长率达到9.2%。而在安全产品结构组成方面，相关数据显示，2019年安全服务占全球整个安全市场份额的65%左右，安全服务市场与安全产品呈现六四分的市场格局。这些数据表明全球网络安全产业规模稳步增长，发展前景广阔，尤其是安全服务开始在全球安全市场上扮演越来越重要的角色。数据来源：IDC中国二、国内网络安全...

2021-09-07

643

随着5G、人工智能、大数据等新技术快速发展和创新应用，各行各业积累的数据所蕴含的潜在价值越来越受到重视，数据资产成为数字经济时代的关键生产要素之一。 2020年4月份，中共中央、国务院发布《关于构建更加完善的要素市场化配置体制机制的意见》，将数据同土地、劳动力、资本、技术等传统生产要素并列，作为一种新型生产要素参与分配。作为释放要素价值的关键环节，数据资源的开放共享、流通计算成为重要趋势。与此同时，数据安全正成为数字经济时代最为迫切的基础性问题。9月1日，《数据安全法》正式施行，连同已经实施的《网络安全法》和即将在11月1日实施的《个人信息保护法》，共同构建起国内的数据监管法律体系。在数据价值和安全冲突日渐加剧的当下，如何平衡好两者之间的关系，成为当前重要的研究课题。在此背景下，隐私保护计算技术的兴起，自然引发各方关注。安全是发展数字经济基础当前，围绕数据采集、流通和价值变现的数据要素市场，正迎来快速发展期。国家工业信息安全发展研究中心大数据研究室主任杨玫介绍，我国数据要素市场规模在2020年达到545亿元，“十三五”期间数据要素市场复合增速超过30%，预计在“十四五”期间将会达...

2021-09-07

487

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。