TensorFlow của Google ngừng hỗ trợ YAML để vá lỗi thực thi mã nghiêm trọng

[Ginny Hà]

TensorFlow - dự án học máy và trí tuệ nhân tạo dựa trên Python do Google phát triển đã ngừng hỗ trợ YAML để vá lỗ hổng thực thi mã nghiêm trọng.

YAML (Yet Another Markup Language) là lựa chọn thuận tiện cho các nhà phát triển muốn tìm kiếm một ngôn ngữ tuần tự hóa dữ liệu đọc được để xử lý các tệp cấu hình và dữ liệu đang chuyển tiếp.
Đội ngũ TensorFlow và Keras vừa vá lỗ hổng giải mã không tin cậy xuất phát từ việc phân tích cú pháp YAML không an toàn. Lỗ hổng nghiêm trọng CVE-2021-37678, cho phép hacker thực thi mã tùy ý khi ứng dụng giải mã trên model Keras được cung cấp ở định dạng YAML.
Các lỗ hổng giải mã thường xảy ra khi một ứng dụng đọc dữ liệu không đúng định dạng hoặc độc hại từ các nguồn không xác thực.
Sau khi một ứng dụng đọc và giải mã dữ liệu, sẽ xảy ra lỗi dẫn đến tình trạng Từ chối Dịch vụ (DoS) hoặc tệ hơn, cho phép hacker thực thi mã tùy ý.
Lỗ hổng được đánh giá 9,3 về mức độ nghiêm trọng, đã được nhà nghiên cứu Arjun Shibu báo cáo với TensorFlow trước đó.
Sau khi nhận được thông tin, TensorFlow đã quyết định ngừng hỗ trợ YAML và thay vào đó sử dụng tính năng giải mã JSON.
TensorFlow không phải dự án đầu tiên hoặc duy nhất được phát hiện sử dụng secure_load của YAML. Việc sử dụng hàm này khá phổ biến trong các dự án Python.
Bản sửa lỗi cho CVE-2021-37678 dự kiến sẽ có trong TensorFlow phiên bản 2.6.0 và sẽ được hỗ trợ trở lại vào các phiên bản 2.5.1, 2.4.3 và 2.3.4 trước đó.

Nguồn: Bleeping Computer​