NVIDIA, Konteyner Araç Takımı’nda kritik güvenlik açıkları olduğunu ve bunların saldırganların uzaktan kod çalıştırmasına olanak sağlayabileceğini açıkladı.
CVE-2024-0132 ve CVE-2024-0133 olarak tanımlanan güvenlik açıkları, NVIDIA Container Toolkit’in 1.16.1 sürümüne kadar olan tüm sürümlerini etkiliyor.
Bunlardan en ciddi olanı, CVE-2024-0132, Kontrol Zamanı, Kullanım Zamanı (TOCTOU) güvenlik açığıdır.
Bu kusur, araç takımının varsayılan yapılandırmasıyla kullanıldığında istismar edilebilir ve özel olarak hazırlanmış bir kapsayıcı görüntüsünün ana bilgisayar dosya sistemine yetkisiz erişim sağlamasına olanak tanır.
Başarılı bir istismar, uzaktan kod çalıştırma, hizmet reddi, ayrıcalıkların artırılması, bilgi ifşası ve veri tahrifi gibi ciddi sonuçlara yol açabilir.
Küçük İşletmelerin Gelişmiş Siber Tehditlere Karşı Nasıl Korunacağına Dair Ücretsiz Web Semineri -> Ücretsiz Kayıt
Bu güvenlik açığına, Ortak Güvenlik Açığı Puanlama Sistemi’ne (CVSS) göre 9,0 temel puanla kritik önem derecesi verilmiştir.
CVE-2024-0133 daha az ciddi ancak yine de önemli bir risk sunar. Bir saldırgan, hazırlanmış bir kapsayıcı görüntüsü aracılığıyla ana bilgisayar dosya sisteminde boş dosyalar oluşturabilir.
Bu güvenlik açığı temel olarak veri bozulmasına yol açsa da orta düzeyde bir öneme sahip olup CVSS taban puanı 4.1 olarak belirlendi.
Bu güvenlik açıkları, Konteyner Aygıt Arayüzünün (CDI) kullanıldığı kullanım durumlarını etkilemez. Ancak, varsayılan ayarlara dayanan yapılandırmalar için risk önemli olmaya devam etmektedir.
NVIDIA, kullanıcıları olası etkiyi anlamak için kendi özel yapılandırmalarını değerlendirmeye çağırdı.
Bu riskleri azaltmak için NVIDIA, Container Toolkit’in 1.16.2 sürümüne ve NVIDIA GPU Operator’ın 24.6.2 sürümüne güncelleme yapılmasını öneriyor. Bu güncellemeler, istismarı önleyen gerekli yamaları uygulayarak güvenlik açıklarını giderir.
Bu güvenlik açıklarının keşfi, konteynerleştirilmiş ortamlardaki devam eden güvenlik zorluklarını vurgular. Konteynerler bulut tabanlı uygulamalar için giderek daha önemli hale geldikçe, güvenliklerinin sağlanması en önemli hale gelir.
NVIDIA’nın araç setine güvenen şirketlerin güncellemeleri uygulamaları ve güvenlik yapılandırmalarını derhal gözden geçirmeleri tavsiye ediliyor.
NVIDIA, ürün güvenliği sayfasında zamanında yamalar ve ayrıntılı rehberlik sağlayarak güvenliğe olan bağlılığını vurguladı.
Kullanıcıların olası güvenlik açıkları hakkında bilgi sahibi olmaları ve önerilen güncellemeleri kullanıma sunuldukları anda uygulamaları önerilir.
Bu güvenlik açıkları önemli riskler oluştursa da, NVIDIA’nın rehberliğine uygun şekilde hızlı bir şekilde harekete geçilmesi ve uyulması, olası tehditleri etkili bir şekilde azaltabilir ve konteynerleştirilmiş dağıtımlarda sürekli güvenliğin sağlanmasını garanti altına alabilir.
ANY.RUN’ın Yeni Güvenli Tarama Aracını Kullanarak Şüpheli Bağlantıları Analiz Edin: Ücretsiz Deneyin