Специалисты из компании Wiz обнаружили критическую уязвимость в инструментарии Nvidia Container Toolkit. По словам исследователей, проблема может представлять серьезную угрозу для управляемых облачных ИИ-сервисов.
Уязвимость получила название NvidiaScape и идентификатор CVE-2025-23266 (9,0 баллов по шкале CVSS). Впервые проблема была продемонстрирована специалистами Wiz, в начале 2025 года, на хакерском соревновании Pwn2Own Berlin. Тогда баг и эксплоит для него принесли команде компании вознаграждение в размере 30 000 долларов.
Разработчики Nvidia проинформировали клиентов об уязвимости и патче для нее в бюллетене, опубликованном на прошлой неделе. По данным производителя, эта критическая уязвимость может привести к повышению привилегий, раскрытию информации, подмене данных и DoS-атакам.
Баг затрагивал все версии Nvidia Container Toolkit до 1.17.7 включительно и Nvidia GPU Operator до 25.3.0 включительно. Производитель устранил проблему в версиях 1.17.8 и 25.3.1 соответственно.
Инструментарий Nvidia Container Toolkit предназначен для создания и запуска контейнеров с GPU-ускорением и, по словам исследователей, он часто используется крупными облачными провайдерами в работе управляемых ИИ-сервисов.
В Wiz рассказывают, что CVE-2025-23266 вызвана некорректной настройкой обработки хуков Open Container Initiative (OCI) — механизмов, которые позволяют выполнять определенные действия на разных этапах работы контейнера. Наибольший риск баг представляет для управляемых ИИ-сервисов в облаке, где пользователи могут запускать собственные контейнеры на общей GPU-инфраструктуре.
То есть NvidiaScape может использоваться вредоносным контейнером для обхода изоляции и получения полного root-доступа к хост-машине. С хост-машины атакующий может похитить данные или манипулировать ими, а также повлиять на проприетарные ИИ-модели других клиентов, использующих то же самое оборудование.
Теперь, когда патч уже вышел, специалисты поделились техническими подробностями уязвимости и продемонстрировали, что она может использоваться с помощью вредоносной полезной нагрузки и трехстрочного Docker-файла, размещенного внутри образа контейнера.
«Это исследование уже не в первый раз подчеркивает, что контейнеры не являются надежным барьером безопасности, на них не следует полагаться как на единственное средство изоляции, — предупреждают в Wiz. — При разработке приложений, особенно для многопользовательских сред, всегда следует предполагать наличие уязвимостей и реализовывать как минимум один надежный изоляционный барьер, например, виртуализацию».
