CVE-2026-65161
WysokieCVSS 7.5Streszczenie
NVIDIA AIStore dla Linux zawiera podatność w API Promote, która pozwala nieuwierzytelnionemu zdalnemu atakującemu odczytać pliki dostępne dla procesu docelowego poprzez podanie spreparowanej bezwzględnej ścieżki źródłowej. Udana eksploatacja może prowadzić do ujawnienia informacji.
Ocena ryzyka
Podatność może pozwolić atakującemu na odczyt poufnych plików z systemu, co prowadzi do wycieku danych.
Rekomendacja
Należy zaktualizować NVIDIA AIStore do wersji z poprawką oraz zabezpieczyć API Promote poprzez uwierzytelnianie i walidację ścieżek.
Inne podatności w NVIDIA AIStore
Zobacz wszystkie- CVE-2026-65172Wysokie
NVIDIA AIStore dla Linux i Kubernetes zawiera podatność braku autoryzacji w API zarządzania ETL, która pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać dostęp do informacji o ETL lub kontrolować istniejące zadania ETL poprzez wysyłanie spreparowanych żądań GET lub POST do proxy AIStore. Udana eksploatacja może prowadzić do ujawnienia informacji oraz nieautoryzowanego uruchamiania lub zatrzymywania operacji.
- CVE-2026-65170Wysokie
NVIDIA AIStore dla Linux zawiera podatność w eksperymentalnym backendzie HT, która pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać podatność typu server-side request forgery poprzez podanie spreparowanego oryginalnego adresu URL. Udana eksploatacja może prowadzić do ujawnienia informacji.
- CVE-2026-65164Wysokie
NVIDIA AIStore dla Linux zawiera podatność typu path traversal w komponencie ekstrakcji archiwów dSort, która pozwala zdalnemu atakującemu na obejście ograniczeń ścieżki do katalogu poprzez podanie spreparowanych nazw elementów archiwum w zadaniu dSort. Udana eksploatacja może prowadzić do tworzenia lub nadpisywania dowolnych plików, wykonania kodu, ujawnienia informacji, modyfikacji danych i odmowy usługi.
- CVE-2026-65103Wysokie
NVIDIA AIStore dla Linuksa zawiera podatność typu path traversal w obsłudze zmiany nazwy obiektów po stronie celu, gdzie nieuwierzytelniony zdalny atakujący może przesłać spreparowaną ścieżkę docelową bezpośrednio do celu AIStore, powodując dowolne utworzenie lub nadpisanie pliku. Udana eksploatacja może doprowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji, modyfikacji danych oraz odmowy usługi.
- CVE-2026-65101Wysokie
NVIDIA AIStore dla Linuksa zawiera podatność w komponencie sortowania rozproszonego, gdzie atakujący może wywołać podatność typu server-side request forgery poprzez dostarczenie spreparowanego adresu URL zewnętrznej mapy kluczy. Udana eksploatacja może doprowadzić do ujawnienia informacji.
- CVE-2026-65173Krytyczne
NVIDIA AIStore dla systemu Linux zawiera podatność na brak uwierzytelniania w punkcie końcowym odwoływania tokenów, gdzie nieuwierzytelniony zdalny atakujący może przesyłać spreparowane listy odwołań tokenów. Udany atak może prowadzić do manipulacji danymi i odmowy usługi.
- CVE-2026-65162Krytyczne
NVIDIA AIStore dla systemu Linux zawiera podatność w starszym API inicjalizacji PodSpec Kubernetes ETL, gdzie zdalny atakujący może dostarczyć ustawienia przestrzeni nazw hosta i bezpieczeństwa kontenerów Kubernetes. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji, manipulacji danymi i odmowy usługi.
- CVE-2026-24270Krytyczne
Framework NVIDIA AIStore zawiera podatność umożliwiającą ominięcie uwierzytelniania. Udany atak może prowadzić do odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.
Oryginalny opis (angielski, źródło NVD)
NVIDIA AIStore for Linux contains a vulnerability in the Promote API where an unauthenticated remote attacker may read files accessible to the target process by supplying a crafted absolute source path. A successful exploit may lead to information disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS