Nvidia hat einen neuen Fehler im Container-Toolkit und im GPU-Operator bestätigt. Der Fehler ermöglicht es bösartigen Akteuren, Code remote auszuführen. Ein Fix wurde bereits bereitgestellt, also schnell patchen!

Das Nvidia Container Toolkit für Linux, eine Reihe von Tools, die es Entwicklern ermöglichen, GPU-beschleunigte Container mit Docker oder anderen Containerruntimes zu erstellen und auszuführen, trägt eine Sicherheitslücke, die es Bedrohungsakteuren ermöglicht, auf das Host-Dateisystem zuzugreifen und somit bösartigen Code remote auszuführen, Denial-of-Service-Angriffe durchzuführen, Berechtigungen zu eskalieren, vertrauliche Informationen zu stehlen oder die Daten des Opfers zu manipulieren. Das Unternehmen bestätigte die Nachricht in einem Sicherheitshinweis und stellte fest, dass sowohl das Nvidia Container Toolkit als auch der Nvidia GPU Operator (eine Kubernetes-native Lösung, die die Bereitstellung, Verwaltung und Überwachung von Nvidia GPU-Ressourcen in einem Kubernetes-Cluster automatisiert) anfällig für den Fehler sind, der als CVE-2025-23359 verfolgt wird. Es wurde eine Schweregradnote von 8,3 vergeben und soll alle Versionen des Container Toolkits bis einschließlich 1.17.3 und alle Versionen bis einschließlich 24.9.1 des GPU Operators betreffen.

Die Fehler wurden in den Versionen 1.17.4 und 24.9.2 behoben. Es ist auch erwähnenswert, dass die Schwachstelle nur auf Linux-Systemen vorhanden ist und keine Auswirkungen auf Fälle hat, in denen CDI verwendet wird. Cybersecurity-Forscher von Wiz behaupten, dass dies tatsächlich ein Umgehungsweg für eine andere Schwachstelle ist. Anscheinend ist der vorherige Fehler als CVE-2024-0132 verfolgt und hat eine Schweregradnote von 9,0, was ihn kritisch macht, da er bösartigen Akteuren ermöglichen könnte, das Stammdateisystem des Hosts in einen Container einzuhängen und ihnen so freien Zugriff auf praktisch alles zu gewähren. Darüber hinaus kann der Zugang genutzt werden, um privilegierte Container zu starten und die vollständige Kompromittierung des Hosts zu erreichen. Nvidia sagt, dass das Problem im September 2024 behoben wurde, und um das Problem anzugehen, wird den Benutzern empfohlen, die veröffentlichten Patches anzuwenden und sicherzustellen, dass die Option „–no-cntlibs“ in Produktionsumgebungen nicht deaktiviert wird. Via The Hacker News

Möglicherweise interessant:
– Nvidia GPU-Besitzern wird geraten, jetzt zu aktualisieren, um eine Reihe schwerwiegender Sicherheitslücken zu beheben
– Wir haben die besten Passwort-Manager zusammengestellt
– Werfen Sie einen Blick auf unseren Leitfaden zur besten Authenticator-App.