Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] NVIDIA opravuje 2 zraniteľnosti v produktoch NVIDIA Container Toolkit a GPU Operator
NVIDIA opravuje 2 zraniteľnosti v produktoch NVIDIA Container Toolkit verzie 1.17.8 a GPU Operator verzie 25.3.1. V prípade, že nie je možné vykonať aktualizáciu, možno dopad zraniteľnosti zmierniť vypnutím hooku 'enable-cuda-compat' [1].
Autentizovanému útočníkovi v lokálnej sieti je vďaka zraniteľnosti v niektorých funkciách používaných na inicializáciu kontajnera v NVIDIA Container Toolkite umožnené spustiť ľubovoľný kód s vyššími oprávneniami. Tým môže dôjsť k eskalácii oprávnení, manipulácii s dátami, úniku informácií alebo k odopretiu služby [1].
Zraniteľnosť sa nachádza v produktoch:
- NVIDIA Container Toolkit; <1.17.8
- NVIDIA GPU Operator; <25.3.1
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-23266 na cve.org, NVD
- CWE-426: Untrusted Search Path na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 7. 2025.
Autentizovanému vzdialenému útočníkovi je vďaka zraniteľnosti v hooku 'update-ldcache' v NVIDIA Container Toolkite umožnené zneužiť sledovanie symbolických odkazov pomocou špeciálne upraveného kontajnerového obrazu, čo môže viesť k manipulácii s dátami a odopretiu služby [1].
Zraniteľnosť sa nachádza v produktoch:
- NVIDIA Container Toolkit; <1.17.8
- NVIDIA GPU Operator; <25.3.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:H
Viac informácií:
- CVE-2025-23267 na cve.org, NVD
- CWE-59: Improper Link Resolution Before File Access ('Link Following') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 7. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 18. 7. 2025.