NVIDIA Seite 3

NVIDIA Cumulus Linux und NVOS enthalten eine Schwachstelle in der NVUE-Schnittstelle, die es einem Benutzer mit niedrigen Rechten ermöglicht, einen Befehl einzuschleusen, was zu einer Rechteausweitung führen kann. Betroffen sind auch Amazon Linux (ALAS), Oracle Linux (ELSA) und Rocky Linux. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Der NVIDIA DCGM Exporter enthält auf allen Plattformen eine Schwachstelle in den /debug/pprof-Endpunkten: Ein Angreifer kann durch das Absetzen mehrerer gleichzeitiger, nicht authentifizierter Anfragen einen unkontrollierten Ressourcenverbrauch (Uncontrolled Resource Consumption) auslösen. CVSS-Basiswert: 8.2 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

NVIDIA NeMo for Linux enthält laut NVD eine Schwachstelle, die einem Angreifer eine OS-Command-Injection ermöglicht. Ein erfolgreicher Exploit kann zu Codeausführung, Datenmanipulation und einer Eskalation von Berechtigungen führen. Die Ausnutzung erfordert lokalen Zugriff mit geringen Rechten, jedoch keine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA TensorRT-LLM für Linux enthält eine Schwachstelle im eingeschränkten Unpickler, der zur Deserialisierung von Modellgewichten verwendet wird. Ein lokaler, nicht authentifizierter Angreifer könnte darüber die Deserialisierung nicht vertrauenswürdiger Daten auslösen. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: die von NVIDIA bereitgestellten Aktualisierungen einspielen.

NVIDIA TensorRT enthält eine Schwachstelle, bei der ein Angreifer eine unzureichende Validierung eines Array-Index auslösen kann. Eine erfolgreiche Ausnutzung kann zur Codeausführung führen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die von NVIDIA bereitgestellten Sicherheitsupdates einspielen.

NVIDIA TensorRT enthält eine Schwachstelle, über die ein Angreifer einen Heap-basierten Pufferüberlauf auslösen kann. Eine erfolgreiche Ausnutzung kann zur Ausführung von Code führen. CVSS-Basiswert: 7.8 (Hoch), Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Empfohlene Massnahme: die von NVIDIA bereitgestellten Updates einspielen.

NVIDIA TensorRT enthält laut NVD eine Schwachstelle, über die ein Angreifer einen heap-basierten Pufferüberlauf auslösen kann. Eine erfolgreiche Ausnutzung kann zur Ausführung von Code führen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

NVIDIA TensorRT-LLM enthält eine Schwachstelle in der Schicht für die Interprozesskommunikation, bei der ein Angreifer mit lokalem Zugriff als derselbe Benutzer eine Deserialisierung auslösen kann. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: die von NVIDIA bereitgestellten Sicherheitsupdates einspielen.

NVIDIA TensorRT-LLM enthält im Disaggregated-Orchestrator-Bestandteil eine Schwachstelle, über die ein Angreifer durch Anfragen an eine interne Schnittstelle internen Cluster-Status lesen, schreiben oder löschen kann. CVSS-Basiswert: 7.3 (Hoch). Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

NVIDIA TensorRT-LLM enthält für alle Plattformen eine Schwachstelle in der Tensor-Deserialisierung: Ein Angreifer kann dadurch einen heap-basierten Pufferüberlauf auslösen. Der Angriff setzt laut CVSS-Vektor Zugriff auf ein angrenzendes Netzwerk sowie hohen Angriffsaufwand voraus (AV:A/AC:H), erfordert aber keine Authentifizierung oder Benutzerinteraktion. Bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit vollständig betroffen (C:H/I:H/A:H). CVSS-Basiswert: 7.5 (Hoch).

NVIDIA TensorRT-LLM enthält eine Schwachstelle, die einem Angreifer eine write-what-where-Bedingung ermöglicht. Ein erfolgreicher Angriff kann laut Hersteller zu Datenmanipulation und Denial of Service führen. CVSS-Basiswert: 7.4 (Hoch). Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

Der NVIDIA Triton Inference Server für Linux enthält eine Schwachstelle, bei der ein Angreifer einen unkontrollierten Ressourcenverbrauch auslösen kann. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

NVIDIA Triton Inference Server für Linux enthält eine Schwachstelle, die einen Stack-basierten Pufferüberlauf ermöglicht. Ein erfolgreicher Angriff kann laut Hersteller zu Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

NVIDIA Triton Inference Server für Linux enthält eine Schwachstelle, bei der ein Angreifer die Verwendung eines abgelaufenen File-Descriptors erzwingen kann. Eine erfolgreiche Ausnutzung kann laut NVIDIA zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung (CISA KEV) ist nicht belegt.

Der NVIDIA Triton Inference Server für Linux enthält eine Schwachstelle, die einem Angreifer unkontrollierten Ressourcenverbrauch ermöglicht. Eine erfolgreiche Ausnutzung kann laut Hersteller zu einem Denial of Service führen. Der Angriff ist laut CVSS-Vektor über das Netzwerk ohne Rechte und ohne Benutzerinteraktion möglich, betrifft aber ausschliesslich die Verfügbarkeit (C:N/I:N/A:H). CVSS-Basiswert: 7.5 (Hoch).

Der NVIDIA Triton Inference Server für Linux enthält eine Schwachstelle, bei der ein Angreifer eine unabgefangene Ausnahme auslösen kann. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

NVIDIA Triton Inference Server für Linux enthält eine Schwachstelle, bei der Speicher nach Ablauf seiner effektiven Lebensdauer nicht freigegeben wird. Ein erfolgreicher Angriff kann laut Hersteller zu Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

NVIDIA DALI enthält laut Quelle eine Schwachstelle, durch die ein Angreifer eine Deserialisierung nicht vertrauenswürdiger Daten auslösen kann. Eine erfolgreiche Ausnutzung kann zur Ausführung beliebigen Codes führen. CVSS-Basiswert: 7.3 (Hoch).

NVIDIA Nsight Systems enthält im gfx_hotspot-Rezept eine Schwachstelle, über die ein Angreifer durch eine präparierte Zeichenkette im manuell aufgerufenen Skript process_nsys_rep_cli.py eine OS-Command-Injection auslösen kann. Ein erfolgreicher Exploit kann zu Codeausführung, Rechteausweitung, Datenmanipulation, Denial of Service und Offenlegung von Informationen führen. CVSS-Basiswert: 7.3 (Hoch).

NVIDIA Nsight Visual Studio für Windows enthält im Nsight Monitor eine Schwachstelle, über die ein Angreifer laut Quelle beliebigen Code mit den Rechten der NVIDIA Nsight Visual Studio Edition Monitor-Anwendung ausführen kann. Ein erfolgreicher Angriff kann zu Rechteausweitung, Codeausführung, Datenmanipulation, Denial of Service und Offenlegung von Informationen führen. CVSS-Basiswert: 7.3 (Hoch).

Der .run-Installer von NVIDIA Nsight Systems für Linux verarbeitet den Installationspfad unsicher, wodurch ein Angreifer über eine manipulierte Zeichenkette eine OS-Command-Injection auslösen kann. Ein erfolgreicher Angriff kann laut Hersteller zu Rechteausweitung, Codeausführung, Datenmanipulation, Denial of Service und Offenlegung von Informationen führen. CVSS-Basiswert: 7.3 (Hoch).

NVIDIA NSIGHT Graphics für Linux enthält eine Schwachstelle, über die ein Angreifer eine Command Injection auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Datenmanipulation und Denial of Service führen. Der Angriff erfolgt lokal und erfordert eine Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

Die NVIDIA Resiliency Extension für Linux enthält eine Schwachstelle in der Log-Aggregation, bei der ein Angreifer vorhersehbare Log-Dateinamen erzeugen kann. Eine erfolgreiche Ausnutzung kann zu Rechteausweitung, Codeausführung, Denial of Service, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 8.4 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle, bei der von einem Angreifer erstellte, manipulierte Daten eine Code Injection auslösen können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

Die NVIDIA Resiliency Extension für Linux enthält eine Schwachstelle im Checkpointing-Kern, über die ein Angreifer eine Race Condition auslösen kann. Eine erfolgreiche Ausnutzung kann zur Offenlegung von Informationen, Datenmanipulation, Denial of Service oder Rechteausweitung führen. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält laut NVD eine Schwachstelle im Modell-Ladevorgang, die durch unzureichende Zugriffskontrollen ausgenutzt werden kann, wenn ein Nutzer eine präparierte Datei lädt. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Denial of Service und Datenmanipulation führen. CVSS-Basiswert: 7.3 (Hoch).

NVIDIA TAO enthält eine Schwachstelle, bei der ein Angreifer über einen unkontrollierten Suchpfad das Laden einer Ressource veranlassen kann. Eine erfolgreiche Ausnutzung kann zu Rechteausweitung, Datenmanipulation, Denial of Service und Informationsoffenlegung führen. CVSS-Basiswert: 8.8 (Hoch).

NVIDIA Triton Inference Server weist eine unzureichende Prüfung ungewöhnlicher oder Ausnahmebedingungen auf, wenn übergrosse Payloads gesendet werden. Ein erfolgreicher Angriff kann laut NVD zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Im NVIDIA Triton Server für Linux besteht eine Schwachstelle durch unzureichende Validierung einer angegebenen Mengenangabe in der Eingabe. Ein erfolgreicher Angriff kann laut Hersteller zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Der NVIDIA DGX Spark GB10 enthält eine Schwachstelle in Hardware-Ressourcen, über die ein Angreifer Hardware-Steuerungen manipulieren könnte. Eine erfolgreiche Ausnutzung kann zu Informationsoffenlegung, Datenmanipulation oder einem Denial of Service führen. CVSS-Basiswert: 8.0 (Hoch).

NVIDIA DGX Spark GB10 enthält eine Schwachstelle in der SROOT-Firmware, über die ein Angreifer ein Schreiben ausserhalb der Puffergrenzen auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Datenmanipulation, Denial of Service, Offenlegung von Informationen oder Rechteausweitung führen. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in den NLP- und LLM-Komponenten: Von einem Angreifer präparierte Daten können eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA-NeMo-Framework bindet über eine vordefinierte Variable Funktionalität aus einer nicht vertrauenswürdigen Kontrollsphäre ein. Ein erfolgreicher Angriff kann laut Hersteller zur Codeausführung führen. CVSS-Basiswert: 7.3 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in einem Skript, bei der bösartige, von einem Angreifer erstellte Eingaben zu unzureichend kontrollierter Codegenerierung führen. Eine erfolgreiche Ausnutzung kann Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation zur Folge haben. Der Angriff erfolgt lokal und erfordert geringe Privilegien. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in der Komponente bert services, bei der von einem Angreifer erstellte, manipulierte Daten eine Code Injection auslösen können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle im pretrain_gpt-Skript: Bösartige, von einem Angreifer erstellte Daten können eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt lokal und erfordert geringe Privilegien. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle in der Komponente tasks/orqa/unsupervised/nq.py, über die ein Angreifer eine Code Injection auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Privilegienausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt laut CVSS-Vektor lokal mit geringen Rechten und ohne Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle im msdp-Preprocessing-Skript: Von einem Angreifer präparierte Daten können eine Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Für den Angriff sind lokaler Zugriff und niedrige Privilegien erforderlich. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle im Skript ensemble_classifer, bei der von einem Angreifer präparierte Daten eine Injection auslösen können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch). Verarbeitete Daten aus nicht vertrauenswürdigen Quellen sollten bis zur Behebung mit besonderer Vorsicht behandelt werden.

Der NVIDIA Triton Inference Server enthält im DALI-Backend eine Schwachstelle, über die ein Angreifer eine unzureichende Eingabevalidierung auslösen kann. Eine erfolgreiche Ausnutzung kann zur Ausführung von Code führen. CVSS-Basiswert: 8 (Hoch); laut Vektor sind hohe Privilegien erforderlich, die Auswirkungen reichen jedoch über die verwundbare Komponente hinaus. Eine konkrete Massnahme liegt nicht in den Quelldaten vor.

NVIDIA Triton Inference Server für Windows und Linux enthält eine Schwachstelle, bei der ein Angreifer über eine speziell präparierte Eingabe ein Out-of-Bounds-Write auslösen kann. Eine erfolgreiche Ausnutzung kann zu einem Denial-of-Service-Zustand führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD eine Schwachstelle, bei der ein Angreifer durch Identifizieren und Zugreifen auf den vom Python-Backend genutzten Shared-Memory-Bereich eine Speicherkorruption verursachen kann. Ein erfolgreicher Exploit kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Das NVIDIA NVDebug Tool enthält eine Schwachstelle, über die ein Angreifer Zugriff auf ein privilegiertes Konto erlangen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Denial of Service, Rechteausweitung, Informationsabfluss und Datenmanipulation führen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: eine korrigierte Version von NVIDIA einspielen.

Das NVIDIA-Tool NVDebug enthält eine Schwachstelle, die es einem Akteur ermöglichen kann, Dateien in geschützte Komponenten zu schreiben. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann zu Offenlegung von Informationen, Denial of Service und Datenmanipulation führen. CVSS-Basiswert: 7.6 (Hoch).

Das NVIDIA-Tool NVDebug enthält eine Schwachstelle, über die ein nicht privilegierter Nutzer Code auf dem Plattform-Host ausführen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. Die Ausnutzung erfordert lokalen Zugriff, niedrige Rechte sowie eine Nutzerinteraktion, bei laut CVSS-Vektor geringer Angriffskomplexität; Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils vollständig betroffen. CVSS-Basiswert: 7.3 (Hoch).

NVIDIA NeMo Curator enthält auf allen Plattformen eine Schwachstelle, bei der eine von einem Angreifer erstellte, präparierte Datei eine Code-Injection ermöglichen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch). Dateien aus nicht vertrauenswürdigen Quellen sollten nicht ungeprüft verarbeitet werden.

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in der Retrieval-Services-Komponente: Bösartige, von einem Angreifer erstellte Daten können eine Code-Injection verursachen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt lokal und erfordert geringe Privilegien. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in der NLP-Komponente, bei der von einem Angreifer erstellte bösartige Daten eine Code Injection auslösen können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Privilegienausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt laut CVSS-Vektor lokal mit geringen Rechten und ohne Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in der NLP-Komponente: Von einem Angreifer präparierte Daten können eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Für den Angriff sind lokaler Zugriff und niedrige Privilegien erforderlich. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle in der Export- und Deploy-Komponente, bei der von einem Angreifer präparierte Daten eine Code-Injection verursachen können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch). Daten aus nicht vertrauenswürdigen Quellen sollten in dieser Komponente nur mit Vorsicht verarbeitet werden.