NVIDIA Seite 4

NVIDIA Apex enthält auf allen Plattformen eine Schwachstelle in einer Python-Komponente: Über eine bösartige Datei kann ein Angreifer eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Für den Angriff sind lokaler Zugriff und niedrige Privilegien erforderlich. CVSS-Basiswert: 7.8 (Hoch).

Die NVIDIA-NeMo-Bibliothek enthält auf allen Plattformen eine Schwachstelle in der Modell-Ladekomponente: Ein Angreifer kann über .nemo-Dateien mit bösartig präparierten Metadaten eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Remote-Code-Ausführung und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle in der Tools-Komponente, über die ein Angreifer eine Code Injection ausnutzen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Privilegienausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt laut CVSS-Vektor lokal mit geringen Rechten und ohne Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework enthält auf allen Plattformen eine Schwachstelle, bei der ein Benutzer eine Deserialisierung nicht vertrauenswürdiger Daten auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch). Serialisierte Daten aus nicht vertrauenswürdigen Quellen sollten nicht geladen werden.

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle in der Komponente megatron/training/arguments.py: Über eine bösartige Eingabe kann ein Angreifer eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Für den Angriff sind lokaler Zugriff und niedrige Privilegien erforderlich. CVSS-Basiswert: 7.8 (Hoch).

Der NVIDIA Triton Inference Server für Windows und Linux enthält im Python-Backend eine Schwachstelle, durch die ein Angreifer ein Out-of-Bounds-Write auslösen kann. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann zu Codeausführung, Denial of Service, Datenmanipulation und Offenlegung von Informationen führen. CVSS-Basiswert: 8.1 (Hoch).

Der NVIDIA Triton Inference Server für Windows und Linux enthält im Python-Backend eine Schwachstelle, über die ein Angreifer durch eine präparierte Anfrage einen Schreibzugriff ausserhalb der Grenzen auslösen kann. Eine erfolgreiche Ausnutzung kann zu Remote Code Execution, Denial of Service, Datenmanipulation oder Informationsabfluss führen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: eine korrigierte Version von NVIDIA einspielen.

NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD eine Schwachstelle, bei der ein Nutzer durch eine ungültige Anfrage einen Division-durch-Null-Fehler verursachen kann. Ein erfolgreicher Exploit kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD eine Schwachstelle, bei der mehrere Anfragen einen Double-Free verursachen können, wenn ein Stream abgebrochen wird, bevor er verarbeitet wurde. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA Triton Inference Server für Windows und Linux enthält eine Schwachstelle, bei der ein Nutzer über eine ungültige Anfrage einen Integer-Overflow bzw. -Wraparound auslösen kann, der zu einem Segmentation Fault führt. Eine erfolgreiche Ausnutzung kann zu einem Denial-of-Service- Zustand führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD eine Schwachstelle, bei der ein speziell präpariertes Input eine unkontrollierte Rekursion auslösen kann. Ein erfolgreicher Exploit kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD eine Schwachstelle, bei der ein Angreifer durch eine speziell präparierte Eingabe einen Integer-Overflow auslösen kann. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Der NVIDIA Triton Inference Server für Windows und Linux enthält eine Schwachstelle, bei der ein Nutzer durch eine ungültige Anfrage einen Integer-Overflow oder Wraparound auslösen kann, der zu einem Segmentation Fault führt. Ein erfolgreicher Angriff kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Der NVIDIA Triton Inference Server für Windows und Linux enthält eine Schwachstelle, bei der ein Angreifer durch speziell präparierte Eingaben einen Integer-Overflow auslösen kann. Ein erfolgreicher Angriff kann zu Denial of Service und Datenmanipulation führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD eine Schwachstelle, bei der eine ungültige Anfrage eine Speicherallokation mit übermässiger Grössenangabe auslösen kann, was zu einem Segmentation Fault führt. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Der NVIDIA Triton Inference Server für Windows und Linux enthält laut NVD-Eintrag eine Schwachstelle im Python-Backend, bei der ein Angreifer durch eine sehr grosse Anfrage das Shared-Memory-Limit überschreiten kann. Ein erfolgreicher Angriff kann zur Offenlegung von Informationen führen. CVSS-Basiswert: 7.5 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle in einer Python-Komponente: Ein Angreifer kann durch Bereitstellen einer bösartigen Datei eine Code-Injection auslösen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt lokal und erfordert geringe Privilegien. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Megatron-LM enthält auf allen Plattformen eine Schwachstelle in einer Python-Komponente, bei der ein Angreifer über eine bösartige Datei eine Code Injection auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Privilegienausweitung, Informationspreisgabe und Datenmanipulation führen. Der Angriff erfolgt laut CVSS-Vektor lokal mit geringen Rechten und ohne Benutzerinteraktion. CVSS-Basiswert: 7.8 (Hoch).

Das NVIDIA NeMo Framework weist eine Schwachstelle auf, bei der ein Nutzer eine Deserialisierung nicht vertrauenswürdiger Daten auslösen und dadurch Remote Code Execution herbeiführen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 7.6 (Hoch).

Das NVIDIA-NeMo-Framework weist eine Schwachstelle auf, bei der eine unzureichende Begrenzung von Pfadnamen auf ein eingeschränktes Verzeichnis einen beliebigen Dateischreibzugriff ermöglicht. Eine erfolgreiche Ausnutzung kann zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 7.6 (Hoch).

Das NVIDIA NeMo Framework enthält eine Schwachstelle in der Kontrolle der Codegenerierung, wodurch ein Nutzer eine Remotecode-Ausführung auslösen kann. Ein erfolgreicher Angriff kann zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 7.6 (Hoch).

NVIDIA Riva weist eine Schwachstelle durch unzureichende Zugriffskontrolle (Improper Access Control) auf. Eine erfolgreiche Ausnutzung kann zu Rechteausweitung, Datenmanipulation, Denial of Service oder Offenlegung von Informationen führen. CVSS-Basiswert: 7.3 (Hoch).

NVIDIA NeMo Framework enthält laut NVD eine Schwachstelle, bei der ein Benutzer über eine relative Path-Traversal-Schwäche beliebige Dateien schreiben kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung und Datenmanipulation führen. CVSS-Basiswert: 7.1 (Hoch).

Der NVIDIA Container Toolkit für Linux enthält in der Standardkonfiguration eine Time-of-Check-Time-of-Use-Schwachstelle (TOCTOU), durch die ein präpariertes Container-Image Zugriff auf das Host-Dateisystem erlangen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. Betroffen sind Produkte des Herstellers NVIDIA. CVSS-Basiswert: 8.3 (Hoch).

Der NVIDIA Container Toolkit enthält eine Schwachstelle unzureichender Isolation, bei der ein speziell präpariertes Container-Image zur Modifikation einer Host-Binary führen kann. Eine erfolgreiche Ausnutzung kann Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation zur Folge haben. CVSS-Basiswert: 7.6 (Hoch).

Der NVIDIA Container Toolkit enthält eine Schwachstelle durch unzureichende Isolation, bei der ein speziell präpariertes Container-Image nicht vertrauenswürdigem Code Lese- und Schreibzugriff auf Host-Geräte verschaffen kann. Die Schwachstelle besteht nur, wenn der NVIDIA Container Toolkit nicht standardmässig konfiguriert ist. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Denial of Service, Rechteausweitung, Informationsoffenlegung und Datenmanipulation führen. CVSS-Basiswert: 7.6 (Hoch).

NVIDIA Mellanox OS, ONYX, Skyway und MetroX-3 XCC enthalten laut Quelle eine Schwachstelle im Web-Support, die es einem Angreifer erlaubt, per speziell präparierter URI einen CGI-Path-Traversal auszulösen. Eine erfolgreiche Ausnutzung kann zu einer Rechteausweitung und zur Offenlegung von Informationen führen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

NVIDIA Jetson Linux enthält in NvGPU eine Schwachstelle, bei der Fehlerbehandlungspfade im Code für das GPU-MMU-Mapping einen fehlgeschlagenen Mapping-Versuch nicht aufräumen. Eine erfolgreiche Ausnutzung kann zu Denial of Service, Codeausführung und Rechteausweitung führen. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: die von NVIDIA bereitgestellten Updates einspielen.

Der NVIDIA GPU Display Driver für Windows enthält im User-Mode-Layer eine Schwachstelle, die einem unprivilegierten regulären Benutzer einen Speicherzugriff ausserhalb der Grenzen (Out-of-Bounds Read) ermöglicht. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Diensteausfall, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA Mellanox OS, ONYX, Skyway, MetroX-2 und MetroX-3 XC enthalten laut NVD eine Schwachstelle in ipfilter: Fehlerhafte ipfilter-Definitionen können es einem Angreifer ermöglichen, einen Ausfall des Switches herbeizuführen. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Die NVIDIA-vGPU-Software für Linux enthält im Virtual GPU Manager eine Schwachstelle, durch die das Gast-Betriebssystem privilegierte Operationen ausführen kann. Eine erfolgreiche Ausnutzung kann zu Offenlegung von Informationen, Datenmanipulation, Rechteausweitung und Diensteausfall führen. CVSS-Basiswert: 7.8 (Hoch).

Der NVIDIA GPU Display Driver für Windows weist eine Schwachstelle auf, durch die Informationen eines vorherigen Clients oder eines anderen Prozesses offengelegt werden können. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Informationsoffenlegung oder Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

Im NVIDIA-GPU-Treiber für Windows und Linux kann ein Nutzer einen Out-of-Bounds-Write auslösen. Ein erfolgreicher Exploit kann zu Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

Der NVIDIA GPU Display Driver für Windows und Linux enthält eine Schwachstelle, bei der ein Nutzer über den Aufruf einer Treiber-API eine Dereferenzierung eines nicht vertrauenswürdigen Zeigers auslösen kann. Eine erfolgreiche Ausnutzung kann zu Denial of Service, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

NVIDIA ChatRTX für Windows enthält in der Chat-RTX-Benutzeroberfläche eine Schwachstelle, bei der ein Nutzer durch das Senden von Eingaben den Ausführungsfluss verändern und damit ein unzureichendes Rechte-Management auslösen kann. Ein erfolgreicher Angriff kann zu Offenlegung von Informationen, Rechteausweitung und Datenmanipulation führen. CVSS-Basiswert: 7.5 (Hoch).

NVIDIA ChatRTX für Windows enthält in der ChatRTX-UI eine Schwachstelle durch unzureichende Rechteverwaltung, die sich über die Interprozesskommunikation zwischen unterschiedlichen Prozessen ausnutzen lässt. Eine erfolgreiche Ausnutzung kann laut Quelle zur Offenlegung von Informationen, zur Rechteausweitung und zur Manipulation von Daten führen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

NVIDIA ChatRTX für Windows enthält eine Schwachstelle in der Benutzeroberfläche, bei der ein Angreifer durch das Senden von Datei-Öffnen-Anfragen an die Anwendung eine fehlerhafte Rechteverwaltung auslösen kann. Eine erfolgreiche Ausnutzung kann zu lokaler Rechteausweitung, Informationsoffenlegung und Datenmanipulation führen. CVSS-Basiswert: 8.2 (Hoch).

Das NVIDIA-NeMo-Framework für Ubuntu enthält in tools/asr_webapp eine Schwachstelle, über die ein Angreifer eine Ressourcenzuweisung ohne Beschränkung oder Drosselung auslösen kann. Eine erfolgreiche Ausnutzung kann zu einem serverseitigen Denial of Service führen. CVSS-Basiswert: 8.6 (Hoch).

Der BMC der NVIDIA BlueField-2- und BlueField-3-DPUs enthält eine Schwachstelle in ipmitool, bei der ein Root-Benutzer durch einen Netzwerkaufruf eine Code-Injection auslösen kann. Eine erfolgreiche Ausnutzung dieser Schwachstelle kann zur Codeausführung auf dem Betriebssystem führen. CVSS-Basiswert: 7.2 (Hoch).

Die SBIOS von NVIDIA DGX A100 enthält eine Schwachstelle, bei der ein Benutzer mit lokalem Zugriff eine dynamische Variablenauswertung auslösen kann. Eine erfolgreiche Ausnutzung kann zu einem Denial of Service führen. CVSS-Basiswert: 7.5 (Hoch).

Im SBIOS von NVIDIA DGX A100 ermöglicht eine SMI-Callout-Schwachstelle einem Angreifer die Ausführung von beliebigem Code auf SMM-Ebene. Ein erfolgreicher Angriff kann laut Quelle zu Codeausführung, Denial of Service, Rechteausweitung und Offenlegung von Informationen führen. CVSS-Basiswert: 7.5 (Hoch), Vektor CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H – der Angriff erfordert lokalen Zugriff, hohe Angriffskomplexität und hohe Rechte. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Der NVIDIA Triton Inference Server für Linux und Windows ist verwundbar, wenn er mit der nicht standardmässig aktivierten Kommandozeilenoption --model-control explicit gestartet wird: Über die Model-Load-API kann ein Angreifer einen relativen Pfad-Traversal-Angriff durchführen. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen und Datenmanipulation führen. CVSS-Basiswert: 7.5 (Hoch). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Der NVIDIA GPU Display Driver für Windows enthält eine Schwachstelle, die es Windows-Benutzern mit geringen Rechten erlaubt, ihre Rechte auszuweiten, während ein Administrator die GPU-Treiber aktualisiert. Dies kann zu einer Eskalation von Privilegien führen. CVSS-Basiswert: 8.2 (Hoch).

Der NVIDIA GPU Display Driver für Windows erlaubt es einem Angreifer laut NVD, mittels Reparse Points beliebige Daten an privilegierte Speicherorte zu schreiben. Ein erfolgreicher Angriff kann zu Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen oder Datenmanipulation führen. CVSS-Basiswert: 7.8 (Hoch).

Der NVIDIA GPU Display Driver für Windows schränkt in wksServicePlugin.dll den Zugriff vom Named-Pipe-Server auf einen verbindenden Client nicht oder nicht ausreichend ein. Dies kann zur Impersonation des sicheren Kontexts des Clients führen. CVSS-Basiswert: 7.8 (Hoch).

Der NVIDIA GPU Display Driver für Windows enthält ein unkontrolliertes Suchpfad-Element, über das ein Angreifer beliebigen Code ausführen kann. Laut Quelle kann dies zu Codeausführung, Denial of Service, Rechteausweitung, Offenlegung von Informationen oder Datenmanipulation führen. CVSS-Basiswert: 7.3 (Hoch).

Der Baseboard Management Controller (BMC) des NVIDIA DGX H100 enthält in einem Webserver-Plugin eine Schwachstelle, über die ein nicht authentifizierter Angreifer durch ein speziell präpariertes Netzwerkpaket einen Stack-Überlauf auslösen kann. Eine erfolgreiche Ausnutzung kann zu beliebiger Code-Ausführung, Denial of Service, Informationsoffenlegung und Datenmanipulation führen. CVSS-Basiswert: 8.8 (Hoch).

Der BMC des NVIDIA DGX H100 enthält im Web-UI eine Schwachstelle, über die ein Angreifer eine fehlerhafte Eingabevalidierung auslösen kann. Eine erfolgreiche Ausnutzung kann zu Informationsabfluss, Codeausführung und Rechteausweitung führen. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: eine korrigierte Firmware von NVIDIA einspielen.

Der BMC des NVIDIA DGX H100 enthält eine Schwachstelle im KVM-Dienst, bei der ein Angreifer eine fehlerhafte Eingabevalidierung auslösen kann. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Denial of Service, Rechteausweitung und Informationsoffenlegung führen. CVSS-Basiswert: 8.0 (Hoch).

Der BMC des NVIDIA DGX H100 enthält eine Schwachstelle im REST-Dienst, bei der ein Angreifer eine unzureichende Eingabevalidierung auslösen kann. Eine erfolgreiche Ausnutzung kann zu Code-Ausführung, Denial of Service, Rechteausweitung und Informationsoffenlegung führen. CVSS-Basiswert: 8.3 (Hoch).