CoBOT检测出AI开源框架TensorFlow中的缺陷_tensorflow漏洞检测-程序员宅基地
技术标签： 安全检测 安全漏洞 代码安全 0day 开源框架漏洞 AI安全
建立在库博大数据安全分析平台之上的库博软件成分和安全分析工具可以对AI开源框架进行成分分析，根据框架中引用的组件，形成一个组件依赖的知识图谱。任何一个依赖的组件发现问题，能够根据知识图谱快速判断是否收到影响，找到受影响的组件并进行修复，防止0day漏洞发生。通过对Tensorflow的成分分析获知，整个框架主要是由Java语言开发、1,099,906行代码，4312个文件。共找到9个依赖的组件，tensorflow-for-poets-2、android-remote-notifications v1.1.4、IconShowcase v0.1、ttrss-reader-fork v1.89.0、JGiven v0.17.0、asset-pipeline vrel-0.6.1、weex-devtool-iOS v0.16.2、mapfish-print Verison v3.2.0、UltraCosmetics v2.4.8。这些组件中又包含了其它组件，形成了组件之间的网状引用关系，增加了框架的复杂程度，如果没有相关的分析工具，则基本上难以厘清之间的关系。
建立在库博大数据安全分析平台之上的库博源代码缺陷检测工具可以对AI开源框架的分析，发现数组越界、空指标解引用、内存泄露、整数溢出、除0异常等问题，可能会导致应用软件产生拒绝服务攻击、控制流劫持、潜在的数据污染等攻击的程序运行时缺陷。也可以发现SQL注入、跨站脚本攻击、密码权限漏洞、线程死锁、Cookie安全、DoS攻击等安全漏洞。
下面我们从人工智能开源框架TOP 10中选择一款框架进行剖析。
TensorFlow是一个用于机器智能的开源软件库，使用数据流图进行数值计算。该项目曾经做过4018次提交（说明了支持组织活跃，但是另一个方面也说明缺陷问题较多），是一个非常活跃的开源项目。通过利用北大软件的CoBOT源代码缺陷和安全漏洞检测工具检测，发现存在着严重缺陷，容易受到外部攻击。
例如下面代码段：
工具报出的缺陷描述如下：
缺陷说明：在TensorFlowMultiBoxDetector.java第(153)行执行循环语句，当[reader]对象中包含任意长度的行或者文件中有任意行时，该循环会不断读取文件耗尽堆内存，导致OutofMemoryError，建议对读取文件的行数和每行的长度进行限制。该函数在(88)行调用被调用[new TensorFlowMultiBoxDetector()]，创建对象[d]。
通过对该缺陷进行通过污点跟踪人工分析如下：
在153行通过while循环条件中的reader对应的readLine方法一直读取输入流的每一行，直到读到文件结束。通过150行创建reader对象可看出，创建的输入流是is对象。is对象是在139行定义，在140-144行根据本地文件前缀判断是1个文件还是多个文件，打开本地文件或输入流。在137行注释语句，印证了从sdcard上或android_asset位置中读取。如果恶意攻击者通过构造外部文件，使程序一直读，占用堆内存，有可能会耗尽堆内存，而使系统内存资源耗尽而无法提供处理或拒绝服务。从而确认该缺陷是一个严重缺陷，可能会导致来自于外部的恶意攻击。
该开源框架检测报出的其它缺陷和安全漏洞比较多，除了违反MISRA 2004/2008/2012安全编码标准大量缺陷之外，还存在多处潜在的内存泄漏，例如：
上述代码中，55行创建labelsInputStream对象，在栈上申请了内存，该对象作为参数两处传递给OvicClassifier对象，而该对象也是在方法内部创建的局部变量，是临时对象，在方法结束之前未释放，潜在着内存泄露和资源调度上的隐患。其它缺陷由于篇幅不再一一赘述。
希望采用该框架的企业，分析一下开源框架中的潜在风险。
（完）
智能推荐
http隧道 java_使用java语言实现http隧道技术-程序员宅基地
文章浏览阅读119次。该楼层疑似违规已被系统折叠隐藏此楼查看此楼/***Getaparametervalue**@paramkeyString*@paramdefString*@returnString*/publicStringgetParameter(Stringkey,Stringdef){returnisStandalone?System.getProperty(ke..._java http隧道
Keepalived高可用+邮件告警_keepalived sendmail-程序员宅基地
文章浏览阅读913次。IP主机名备注192.168.117.14keepalived-master主节点192.168.117.15keepalived-slaver备节点192.168.117.100VIP1.主备节点均安装keepalived# yum install -y keepalived httpd2.主备节点均修改keepalived日志存放路径..._keepalived sendmail
SPFILE 错误导致数据库无法启动(ORA-01565)_ora01565 ora27046-程序员宅基地
文章浏览阅读469次。--==========================================--SPFILE错误导致数据库无法启动(ORA-01565)--========================================== SPFILE错误导致数据库无法启动 SQL> startup ORA-01078: failurein proce_ora01565 ora27046
功能测试基础知识（1）-程序员宅基地
文章浏览阅读6.1k次，点赞2次，收藏54次。功能测试基础知识总结_功能测试
postgresql 中文排序_pg中文排序-程序员宅基地
文章浏览阅读3.2k次，点赞3次，收藏2次。pg 中文首字母排序_pg中文排序
[Mysql] CONVERT函数_mysql convert-程序员宅基地
文章浏览阅读3.1w次，点赞23次，收藏109次。本文主要讲解CONVERT函数_mysql convert
随便推点
HTML5与微信开发（2）-视频播放事件及API属性_微信开发者工具视频快进-程序员宅基地
文章浏览阅读8.6k次，点赞2次，收藏2次。HTML5 的视频播放事件想必大家已经期待很久了吧，在HTML4.1、4.0之前我们如果在网页上播放视频无外乎两种方法： 第一种：安装FLASH插件或者微软发布的插件 第二种：在本地安装播放器，在线播放组件之类的 因为并不是所有的浏览器都安装了FLASH插件，就算安装也不一定所有的都能安装成功。像苹果系统就是默认禁用FLASH的，安卓虽然一开始的时候支持FLASH，但是在安卓4.0以后也开始不_微信开发者工具视频快进
JedisConnectionException Connection Reset_jedisconnectionexception: java.net.socketexception-程序员宅基地
文章浏览阅读5.4k次，点赞3次，收藏4次。在使用redis的过程常见错误总结1.JedisConnectionException Connection Reset参考这边文章：Connection reset原因分析和解决方案https://blog.csdn.net/cwclw/article/details/527971311.1问题描述Exception in thread "main" redis.clients...._jedisconnectionexception: java.net.socketexception: connection reset
Lua5.3版GC机制理解_lua5.3 gc-程序员宅基地
文章浏览阅读8.3k次，点赞8次，收藏42次。目录1.Lua垃圾回收算法原理简述2.Lua垃圾回收中的三种颜色3.Lua垃圾回收详细过程4.步骤源码详解4.1新建对象阶段4.2触发条件4.3 GC函数状态机4.4标记阶段4.5清除阶段5.总结参考资料lua垃圾回收(Garbage Collect)是lua中一个比较重要的部分。由于lua源码版本变迁，目前大多数有关这个方面的文章都还是基于lua5.1版本，有一定的滞后性。因此本文通过参考当前..._lua5.3 gc
手机能打开的表白代码_能远程打开，各种手机电脑进行监控操作，最新黑科技...-程序员宅基地
文章浏览阅读511次。最近家中的潮人，老妈闲着没事干，开始学玩电脑，引起他的各种好奇心。如看看新闻，上上微信或做做其他的事情。但意料之中的是电脑上会莫名出现各种问题？不翼而飞的图标？照片又不见了？文件被删了，卡机或者黑屏，无声音了，等等问题。常常让她束手无策，求助于我，可惜在电话中说不清，往往只能苦等我回家后才能解决，那种开心乐趣一下子消失了。想想，这样也不是办法啊， 于是，我潜心寻找了两款优秀的远程控制软件。两款软件...
成功Ubuntu18.04 ROS melodic安装Cartograhper+Ceres1.13.0，以及错误总结_ros18.04 安装ca-程序员宅基地
文章浏览阅读1.8k次。二.初始化工作空间三.设置下载地址四.下载功能包此处可能会报错，请看：rosdep update遇到ERROR: error loading sources list: The read operation timed out问题_DD᭄ꦿng的博客-程序员宅基地接下来一次安装所有功能包，注意对应ROS版本 五.编译功能包isolated：单独编译各个功能包，每个功能包之间不产生依赖。编译过程时间比较长，可能需要几分钟时间。此处可能会报错：缺少absl依赖包_ros18.04 安装ca
Harbor2.2.1配置（trivy扫描器、镜像签名）_init error: db error: failed to download vulnerabi-程序员宅基地
文章浏览阅读4.1k次，点赞3次，收藏7次。Haobor2.2.1配置（trivy扫描器、镜像签名）docker-compose下载https://github.com/docker/compose/releases安装cp docker-compose /usr/local/binchmod +x /usr/local/bin/docker-composeharbor下载https://github.com/goharbor/harbor/releases解压tar xf xxx.tgx配置harbor根下建立:mkd_init error: db error: failed to download vulnerability db: database download