CVE-2026-65172
WysokieCVSS 8.6Streszczenie
NVIDIA AIStore dla Linux i Kubernetes zawiera podatność braku autoryzacji w API zarządzania ETL, która pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać dostęp do informacji o ETL lub kontrolować istniejące zadania ETL poprzez wysyłanie spreparowanych żądań GET lub POST do proxy AIStore. Udana eksploatacja może prowadzić do ujawnienia informacji oraz nieautoryzowanego uruchamiania lub zatrzymywania operacji.
Ocena ryzyka
Podatność wpływa na integralność i dostępność potoków przetwarzania danych ETL oraz może prowadzić do ujawnienia informacji.
Rekomendacja
Należy zaktualizować NVIDIA AIStore do wersji z poprawką oraz zabezpieczyć API zarządzania ETL poprzez uwierzytelnianie i ograniczenie dostępu sieciowego.
Inne podatności w NVIDIA AIStore
Zobacz wszystkie- CVE-2026-65170Wysokie
NVIDIA AIStore dla Linux zawiera podatność w eksperymentalnym backendzie HT, która pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać podatność typu server-side request forgery poprzez podanie spreparowanego oryginalnego adresu URL. Udana eksploatacja może prowadzić do ujawnienia informacji.
- CVE-2026-65164Wysokie
NVIDIA AIStore dla Linux zawiera podatność typu path traversal w komponencie ekstrakcji archiwów dSort, która pozwala zdalnemu atakującemu na obejście ograniczeń ścieżki do katalogu poprzez podanie spreparowanych nazw elementów archiwum w zadaniu dSort. Udana eksploatacja może prowadzić do tworzenia lub nadpisywania dowolnych plików, wykonania kodu, ujawnienia informacji, modyfikacji danych i odmowy usługi.
- CVE-2026-65161Wysokie
NVIDIA AIStore dla Linux zawiera podatność w API Promote, która pozwala nieuwierzytelnionemu zdalnemu atakującemu odczytać pliki dostępne dla procesu docelowego poprzez podanie spreparowanej bezwzględnej ścieżki źródłowej. Udana eksploatacja może prowadzić do ujawnienia informacji.
- CVE-2026-65103Wysokie
NVIDIA AIStore dla Linuksa zawiera podatność typu path traversal w obsłudze zmiany nazwy obiektów po stronie celu, gdzie nieuwierzytelniony zdalny atakujący może przesłać spreparowaną ścieżkę docelową bezpośrednio do celu AIStore, powodując dowolne utworzenie lub nadpisanie pliku. Udana eksploatacja może doprowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji, modyfikacji danych oraz odmowy usługi.
- CVE-2026-65101Wysokie
NVIDIA AIStore dla Linuksa zawiera podatność w komponencie sortowania rozproszonego, gdzie atakujący może wywołać podatność typu server-side request forgery poprzez dostarczenie spreparowanego adresu URL zewnętrznej mapy kluczy. Udana eksploatacja może doprowadzić do ujawnienia informacji.
- CVE-2026-65173Krytyczne
NVIDIA AIStore dla systemu Linux zawiera podatność na brak uwierzytelniania w punkcie końcowym odwoływania tokenów, gdzie nieuwierzytelniony zdalny atakujący może przesyłać spreparowane listy odwołań tokenów. Udany atak może prowadzić do manipulacji danymi i odmowy usługi.
- CVE-2026-65162Krytyczne
NVIDIA AIStore dla systemu Linux zawiera podatność w starszym API inicjalizacji PodSpec Kubernetes ETL, gdzie zdalny atakujący może dostarczyć ustawienia przestrzeni nazw hosta i bezpieczeństwa kontenerów Kubernetes. Udany atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji, manipulacji danymi i odmowy usługi.
- CVE-2026-24270Krytyczne
Framework NVIDIA AIStore zawiera podatność umożliwiającą ominięcie uwierzytelniania. Udany atak może prowadzić do odmowy usługi, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.
Oryginalny opis (angielski, źródło NVD)
NVIDIA AIStore for Linux and Kubernetes contains a missing authorization vulnerability in the ETL management API where an unauthenticated remote attacker may access ETL information or control existing ETL jobs by sending crafted GET or POST requests to an AIStore proxy. A successful exploit may lead to information disclosure and unauthorized start or stop operations that affect the integrity and availability of ETL data-processing pipelines.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS