CVE-2026-65101
WysokieCVSS 8.6Streszczenie
NVIDIA AIStore dla Linuksa zawiera podatność w komponencie sortowania rozproszonego, gdzie atakujący może wywołać podatność typu server-side request forgery poprzez dostarczenie spreparowanego adresu URL zewnętrznej mapy kluczy. Udana eksploatacja może doprowadzić do ujawnienia informacji.
Ocena ryzyka
Organizacja korzystająca z NVIDIA AIStore może być narażona na ujawnienie informacji poprzez wymuszenie żądań do zasobów wewnętrznych. Ryzyko dotyczy środowisk, w których komponent sortowania rozproszonego przetwarza niezaufane adresy URL.
Rekomendacja
Zaktualizuj NVIDIA AIStore do najnowszej wersji z poprawką i ogranicz możliwość dostarczania zewnętrznych adresów URL map kluczy przez niezaufanych użytkowników.
Inne podatności w NVIDIA AIStore
Zobacz wszystkie- CVE-2026-65172Wysokie
NVIDIA AIStore dla Linux i Kubernetes zawiera podatność braku autoryzacji w API zarządzania ETL, która pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać dostęp do informacji o ETL lub kontrolować istniejące zadania ETL poprzez wysyłanie spreparowanych żądań GET lub POST do proxy AIStore. Udana eksploatacja może prowadzić do ujawnienia informacji oraz nieautoryzowanego uruchamiania lub zatrzymywania operacji.
- CVE-2026-65170Wysokie
NVIDIA AIStore dla Linux zawiera podatność w eksperymentalnym backendzie HT, która pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać podatność typu server-side request forgery poprzez podanie spreparowanego oryginalnego adresu URL. Udana eksploatacja może prowadzić do ujawnienia informacji.
- CVE-2026-65164Wysokie
NVIDIA AIStore dla Linux zawiera podatność typu path traversal w komponencie ekstrakcji archiwów dSort, która pozwala zdalnemu atakującemu na obejście ograniczeń ścieżki do katalogu poprzez podanie spreparowanych nazw elementów archiwum w zadaniu dSort. Udana eksploatacja może prowadzić do tworzenia lub nadpisywania dowolnych plików, wykonania kodu, ujawnienia informacji, modyfikacji danych i odmowy usługi.
- CVE-2026-65161Wysokie
NVIDIA AIStore dla Linux zawiera podatność w API Promote, która pozwala nieuwierzytelnionemu zdalnemu atakującemu odczytać pliki dostępne dla procesu docelowego poprzez podanie spreparowanej bezwzględnej ścieżki źródłowej. Udana eksploatacja może prowadzić do ujawnienia informacji.
- CVE-2026-65103Wysokie
NVIDIA AIStore dla Linuksa zawiera podatność typu path traversal w obsłudze zmiany nazwy obiektów po stronie celu, gdzie nieuwierzytelniony zdalny atakujący może przesłać spreparowaną ścieżkę docelową bezpośrednio do celu AIStore, powodując dowolne utworzenie lub nadpisanie pliku. Udana eksploatacja może doprowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji, modyfikacji danych oraz odmowy usługi.
- CVE-2026-65173Krytyczne
NVIDIA AIStore dla systemu Linux zawiera podatność na brak uwierzytelniania w punkcie końcowym odwoływania tokenów, gdzie nieuwierzytelniony zdalny atakujący może przesyłać spreparowane listy odwołań tokenów. Udany atak może prowadzić do manipulacji danymi i odmowy usługi.
- CVE-2026-65162Krytyczne
NVIDIA AIStore dla systemu Linux zawiera podatność w starszym API inicjalizacji PodSpec Kubernetes ETL, gdzie zdalny atakujący może dostarczyć ustawienia przestrzeni nazw hosta i bezpieczeństwa kontenerów Kubernetes. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji, manipulacji danymi i odmowy usługi.
- CVE-2026-24270Krytyczne
Framework NVIDIA AIStore zawiera podatność umożliwiającą ominięcie uwierzytelniania. Udany atak może prowadzić do odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.
Oryginalny opis (angielski, źródło NVD)
NVIDIA AIStore for Linux contains a vulnerability in the distributed sort component where an attacker could cause server-side request forgery by supplying a crafted external key map URL. A successful exploit of this vulnerability might lead to information disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS