محققان امنیت سایبری آسیب‌پذیری جدیدی در ابزار کانتینر انویدیا (NVIDIA Container Toolkit) کشف کرده‌اند که با شناسه CVE-2025-23359 و امتیاز CVSS برابر 8.3 ثبت شده است. این آسیب‌پذیری از نوع Time-of-Check Time-of-Use (TOCTOU) امکان فرار از محدودیت‌های ایزولاسیون کانتینر و دستیابی کامل به سیستم میزبان را فراهم می‌کند. نسخه‌های آسیب‌پذیر شامل تمام نسخه‌های NVIDIA Container Toolkit تا 1.17.3 و NVIDIA GPU Operator تا 24.9.1 می‌باشد که به ترتیب در نسخه‌های 1.17.4 و 24.9.2 برطرف شده‌اند.
شرکت امنیت ابری Wiz اعلام کرد که این آسیب‌پذیری راهی برای دور زدن آسیب‌پذیری قبلی CVE-2024-0132 با امتیاز 9.0 است که در سپتامبر 2024 توسط انویدیا رفع شده بود. مهاجمان می‌توانند با استفاده از پیوند نمادین (symbolic link) مسیرهای فایل را در عملیات mount دستکاری کرده و سیستم فایل ریشه میزبان را در کانتینر mount کنند. اگرچه دسترسی اولیه فقط خواندنی است، اما مهاجمان می‌توانند از طریق تعامل با Unix sockets کانتینرهای دارای امتیاز ایجاد کرده و دسترسی کامل به سیستم فایل کسب کنند.
کلمات کلیدی : آسیب‌پذیری انویدیا, امنیت سایبری, کانتینر, CVE-2025-23359, NVIDIA Container Toolkit, ایزولاسیون کانتینر
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.