Andres Riancho

**Nome do Software Vulnerável e Versões Afetadas** Versões do NVIDIA Container Toolkit até e incluindo a 1.17.3 Versões do NVIDIA GPU Operator até e incluindo a 24.9.1 **Descrição** O NVIDIA Container Toolkit e o NVIDIA GPU Operator são afetados por uma vulnerabilidade de Time-of-Check Time-of-Use (TOCTOU). Esta falha pode permitir que uma imagem de contêiner manipulada obtenha acesso ao sistema de arquivos do host, potencialmente levando à execução de código, negação de serviço, escalonamento de privilégios, divulgação de informações e alteração de dados. Um bypass foi descoberto para uma falha de segurança corrigida anteriormente, reclassificada como CVE-2025-23359. A vulnerabilidade existe devido a erros na sincronização ao usar um recurso compartilhado, criando uma condição de corrida. **Recomendações** Versões do NVIDIA Container Toolkit até e incluindo a 1.17.3: Atualize para uma versão mais recente para corrigir a vulnerabilidade. Versões do NVIDIA GPU Operator até e incluindo a 24.9.1: Atualize para uma versão mais recente para corrigir a vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NVIDIA Container Toolkit (versões afetadas não especificadas) **Descrição** O problema está relacionado a uma vulnerabilidade de isolamento inadequado em que uma imagem de contêiner especialmente elaborada poderia levar à modificação de um binário do host. Uma exploração bem-sucedida pode resultar em execução de código, negação de serviço, elevação de privilégios, divulgação de informações e alteração de dados. Os endpoints da API "GET /api/v1/status/{job id}" e "POST /api/v1/search" são mencionados, sendo a variável `job id` e o `Content-Type` relevantes. **Recomendações** Aplique a atualização de segurança mais recente lançada pela NVIDIA para seu Container Toolkit e GPU Operator para corrigir as vulnerabilidades críticas. Como medida temporária, considere restringir o acesso aos endpoints da API "GET /api/v1/status/{job id}" e "POST /api/v1/search" até que uma correção esteja disponível. Evite utilizar a variável `job id` no endpoint da API "GET /api/v1/status/{job id}" até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** NVIDIA Container Toolkit (versões afetadas não especificadas) **Descrição** O NVIDIA Container Toolkit contém uma vulnerabilidade de isolamento inadequado na qual uma imagem de contêiner especialmente elaborada poderia permitir que código não confiável obtenha acesso de leitura e escrita a dispositivos do host. Este problema está presente apenas quando o NVIDIA Container Toolkit é configurado de maneira não padrão. Uma exploração bem-sucedida pode levar à execução de código, negação de serviço, escalonação de privilégios, divulgação de informações e adulteração de dados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** NVIDIA Container Toolkit (versões afetadas não especificadas) **Descrição** O NVIDIA Container Toolkit contém uma vulnerabilidade de isolamento impróprio. Uma imagem de contêiner especialmente criada pode levar à execução de código não confiável no namespace de rede do host. Este problema está presente apenas quando o NVIDIA Container Toolkit é configurado de forma não padrão. Uma exploração bem-sucedida pode levar à negação de serviço e ao escalonamento de privilégios. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do NVIDIA Container Toolkit anteriores à versão corrigida Versões do NVIDIA GPU Operator anteriores à versão corrigida **Descrição** O problema está relacionado a erros no processamento de links simbólicos, que podem ser explorados por um invasor remoto para comprometer a integridade dos dados. Uma imagem de contêiner especialmente criada pode levar à criação de arquivos não autorizados no host, embora o nome e a localização desses arquivos não possam ser controlados pelo invasor. Isso pode resultar em adulteração de dados. **Recomendações** Para versões do NVIDIA Container Toolkit anteriores à versão corrigida, atualize para a versão mais recente, conforme descrito no guia de correção. Para versões do NVIDIA GPU Operator anteriores à versão corrigida, atualize para a versão mais recente, conforme descrito no guia de correção. Como solução alternativa temporária, considere restringir o acesso aos componentes vulneráveis até que um patch esteja disponível. Revise as configurações de segurança para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** NVIDIA Container Toolkit versions 1.16.1 or earlier **Description** The issue is related to the default mode of operation in NVIDIA Container Toolkit, allowing a specially crafted container image to create empty files on the host file system. This vulnerability does not impact use cases where CDI is used. A successful exploit may lead to data tampering. The vulnerability is also associated with a null pointer dereference due to concurrent access to a resource, potentially allowing a remote attacker to modify arbitrary data by using a specially crafted container image. **Recommendations** For NVIDIA Container Toolkit versions 1.16.1 or earlier, consider updating to a version that contains a fix for this issue, as no specific workaround is provided in the given information. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** TippingPoint IPS versions prior to 2.2.4.6519 **Description** The issue allows remote attackers to cause a denial of service, resulting in a page fault, by sending a malformed packet, which can force the device into layer 2 fallback. **Recommendations** For versions prior to 2.2.4.6519, update to version 2.2.4.6519 or later to resolve the issue.