Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] NVIDIA opravuje 6 zranitelností v různých produktech
Nvidia opravuje 6 zranitelností v různých produktech [1]. Jednotlivé produkty a jejich opravené verze [1]: NVIDIA DOCA collectx-clxapidev - 3.0.0, 2.9.3 NVIDIA DOCA collectx-dpserver - 3.0.0, 2.5.4, 2.9.3 BlueField GA - 45.1020 BlueField LTS22 - 35.4554 BlueField LTS23 - 39.5050 BlueField LTS24 - 43.3608 ConnectX GA - 45.1020 ConnectX LTS22 - 35.4554 ConnectX LTS23 - 39.5050 ConnectX LTS24 - 43.3608 ConnectX-4 - 12.28.4704 (publikováno do konce září) ConnectX-4 LX - 14.32.1908 (publikováno do konce září) Mellanox DPDK (GA) - 22.11_2504.1.0 Mellanox DPDK (LTS) - 20.11.7.9.0, 22.11_2410.4.0, 22.11_2310.6.0 DPDK (Upstream) - 25.07 DPDK (Upstream LTS) - 24.11.3, 23.11.5, 22.11.10 NVOS NVSwitch - 25.02.42xx NVOS IBSwitch - 25.02.4xxx Cumulus Linux - 5.13, 5.11.0.0026, 5.11.1.1009, 5.9.2.0020, 5.9.0.0032
Autentizovanému lokálnímu útočníkovi je v management rozhraní NVIDIA BlueField umožněno neoprávněně měnit konfiguraci [1].
Zranitelnost se nachází v produktech:
- NVIDIA BlueField GA; 45.1020;
- NVIDIA BlueField LTS22; 35.4554;
- NVIDIA BlueField LTS23; 39.5050;
- NVIDIA BlueField LTS24; 43.3608;
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H
Více informací:
- CVE-2025-23256 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Autentizovanému vzdálenému útočníkovi je v NVIDIA DOCA collectx-clxapidev (Debian) umožněno zvýšit svá oprávnění [1].
Zranitelnost se nachází v produktu:
- Debian:NVIDIA DOCA collectx-clxapidev; >=2.9, <2.9.3; >=2.10, <3.0;
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-23257 na cve.org, NVD
- CWE-732: Incorrect Permission Assignment for Critical Resource na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Autentizovanému vzdálenému útočníkovi je v NVIDIA DOCA collectx-dpeserver (Debian arm64) umožněno zvýšit svá oprávnění [1].
Zranitelnost se nachází v produktu:
- Debian:NVIDIA DOCA collectx-dpeserver; >=2.5, <2.5.4; >=2.9, <2.9.3; >=2.10, <3.0;
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Více informací:
Autentizovanému sousednímu útočníkovi je v management rozhraní NVIDIA ConnectX umožněno neoprávněně měnit konfiguraci [1].
Zranitelnost se nachází v produktech:
- NVIDIA ConnectX GA; <45.1020;
- NVIDIA ConnectX LTS22; <35.4554
- NVIDIA ConnectX LTS23; <39.5050;
- NVIDIA ConnectX LTS24; <43.3608;
- NVIDIA ConnectX-4; <12.28.4704;
- NVIDIA ConnectX-4 LX; <14.32.1908;
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Více informací:
- CVE-2025-23262 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Autentizovanému sousednímu útočníkovi ve virtuálním stroji v NVIDIA Mellanox DPDK je umožněno provést DoS útok a neoprávněně přistupovat k informacím [1].
Zranitelnost se nachází v produktech:
- DPDK (Mellanox); >=22.11, <22.11_2504.1.0;
- DPDK (Mellanox LTS); >=20.11, <20.11_7.8.0; >=22.11, <22.11_2310; >=22.11, <22.11_2410;
- DPDK; >=25.00, <25.07;
- DPDK (LTS); >=22.11, <22.11.10; >=23.11, <23.11.5; >=24.11, <24.11.3;
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Více informací:
- CVE-2025-23259 na cve.org, NVD
- CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Autentizovanému sousednímu útočníkovi je v NVIDIA Cumulus (Linux) a NVOS umožněno neoprávněně zobrazovat hashe hesel z logů [1].
Zranitelnost se nachází v produktech:
- Linux:NVIDIA Cumulus >=5.12, <5.13; >=5.11.0, <5.11.0.0026; >=5.11.1, <5.11.1.1009; >=5.9.2, <5.9.2.0020; <5.9.0.0032;
- NVIDIA NVOS; >=25.02.21, <25.02.24;
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H
Více informací:
- CVE-2025-23261 na cve.org, NVD
- CWE-532: Insertion of Sensitive Information into Log File na cwe.mitre.org
Zranitelnost byla veřejně oznámena 3. 9. 2025.
Za CESNET, z.s.p.o. Martin Krajči dne 10. 9. 2025.