[TLP:CLEAR] NVIDIA opravuje 6 zraniteľností v rôznych produktoch
Nvidia opravuje 6 raniteľnosti v rôznych produktoch [1]. Jednotlivé produkty a ich opravené verzie [1]: NVIDIA DOCA collectx-clxapidev - 3.0.0, 2.9.3 NVIDIA DOCA collectx-dpserver - 3.0.0, 2.5.4, 2.9.3 BlueField GA - 45.1020 BlueField LTS22 - 35.4554 BlueField LTS23 - 39.5050 BlueField LTS24 - 43.3608 ConnectX GA - 45.1020 ConnectX LTS22 - 35.4554 ConnectX LTS23 - 39.5050 ConnectX LTS24 - 43.3608 ConnectX-4 - 12.28.4704 (publikované do konca septembra) ConnectX-4 LX - 14.32.1908 (publikované do konca septembra) Mellanox DPDK (GA) - 22.11_2504.1.0 Mellanox DPDK (LTS) - 20.11.7.9.0, 22.11_2410.4.0, 22.11_2310.6.0 DPDK (Upstream) - 25.07 DPDK (Upstream LTS) - 24.11.3, 23.11.5, 22.11.10 NVOS NVSwitch - 25.02.42xx NVOS IBSwitch - 25.02.4xxx Cumulus Linux - 5.13, 5.11.0.0026, 5.11.1.1009, 5.9.2.0020, 5.9.0.0032
Autentizovanému lokálnemu útočníkovi je v rozhraní manažmentu NVIDIA BlueField umožnené neoprávnene meniť konfiguráciu [1].
Zraniteľnosť sa nachádza v produktoch:
- NVIDIA BlueField GA vo verziách 45.1020
- NVIDIA BlueField LTS22 vo verziách 35.4554
- NVIDIA BlueField LTS23 vo verziách 39.5050
- NVIDIA BlueField LTS24 vo verziách 43.3608
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H
Viac informácií:
- CVE-2025-23256 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-863: Incorrect Authorization at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 3. 9. 2025.
Autentizovanému vzdialenému útočníkovi je v NVIDIA DOCA collectx-clxapidev (Debian) umožnené zvýšiť svoje oprávnenia [1].
Zraniteľnosť sa nachádza v produkte NVIDIA DOCA collectx-clxapidev (debian) vo verziách (>=2.9 AND <2.9.3) OR (>=2.10 AND <3.0).
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-23257 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-732: Incorrect Permission Assignment for Critical Resource at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 3. 9. 2025.
Autentizovanému vzdialenému útočníkovi je v NVIDIA DOCA collectx-dpeserver (Debian arm64) umožnené zvýšiť svoje oprávnenia [1].
Zraniteľnosť sa nachádza v produkte NVIDIA DOCA collectx-dpeserver (debian) vo verziách (>=2.5 AND <2.5.4) OR (>=2.9 AND <2.9.3) OR (>=2.10 AND <3.0).
Viac informácií:
Autentizovanému priľahlému útočníkovi je v rozhraní manažmentu NVIDIA ConnectX umožnené neoprávnene meniť konfiguráciu [1].
Zraniteľnosť sa nachádza v produktoch:
- NVIDIA ConnectX GA vo verziách <45.1020
- NVIDIA ConnectX LTS22 vo verziách <35.4554
- NVIDIA ConnectX LTS23 vo verziách <39.5050
- NVIDIA ConnectX LTS24 vo verziách <43.3608
- NVIDIA ConnectX-4 vo verziách <12.28.4704
- NVIDIA ConnectX-4 LX vo verziách <14.32.1908
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Viac informácií:
- CVE-2025-23262 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-863: Incorrect Authorization at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 3. 9. 2025.
Autentizovanému priľahlému útočníkovi vo virtuálnom stroji v NVIDIA Mellanox DPDK je umožnené vykonať DoS útok a neoprávnene pristupovať k informáciám [1].
Zraniteľnosť sa nachádza v produktoch:
- DPDK (Mellanox) vo verziách >=22.11 AND <22.11_2504.1.0
- DPDK (Mellanox LTS) vo verziách (>=20.11 AND <20.11_7.8.0) OR (>=22.11 AND <22.11_2310) OR (>=22.11 AND <22.11_2410)
- DPDK vo verziách >=25.00 AND <25.07
- DPDK (LTS) vo verziách (>=22.11 AND <22.11.10) OR (>=23.11 AND <23.11.5) OR (>=24.11 AND <24.11.3)
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Viac informácií:
- CVE-2025-23259 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 3. 9. 2025.
Autentizovanému priľahlému útočníkovi je v NVIDIA Cumulus (Linux) a NVOS umožnené neoprávnene zobrazovať hash hesiel z logov [1].
Zraniteľnosť sa nachádza v produktoch:
- NVIDIA Cumulus >=5.12, <5.13 (linux) vo verziách (>=5.11.0 AND <5.11.0.0026) OR (>=5.11.1 AND <5.11.1.1009) OR (>=5.9.2 AND <5.9.2.0020) OR (<5.9.0.0032)
- NVIDIA NVOS vo verziách >=25.02.21 AND <25.02.24
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Viac informácií:
- CVE-2025-23261 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-532: Insertion of Sensitive Information into Log File at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 3. 9. 2025.
Za CESNET-CERTS Martin Krajči dňa 10. 9. 2025.
