NVIDIA пусна актуализация за сигурност за своя софтуер Infrastructure Controller за Linux, отстранявайки 14 уязвимости, които биха могли да позволят на атакуващи да получат достъп до чувствителна системна информация, да изпълняват код, да променят данни или да нарушат работата на засегнатите среди.
Обновяването, публикувано в бюлетина за сигурност на NVIDIA Infrastructure Controller от септември 2026 г., засяга версии от 0 до 1.9. NVIDIA препоръчва на организациите да клонират или обновят софтуера до версия 2.0 или по-нова, за да коригират всички съобщени проблеми.
Сред коригираните дефекти е CVE-2026-65127 – уязвимост със средна степен на сериозност, причинена от неизтрита информация за отладка. Проблемът има CVSS оценка 4.1 и се проследява като CWE-1258.
Атакуващ с локален достъп, високи привилегии и благоприятни условия би могъл потенциално да извлече чувствителна системна информация, оставена открита чрез артефакти за отладка.
Въпреки че проблемът с информацията за отладка изисква значителен достъп от страна на атакуващия, той е част от по-широко общобюлетинно обновление за сигурност, съдържащо няколко по-сериозни уязвимости.
NVIDIA отстранява уязвимости в компоненти за Linux
Най-критичният дефект, CVE-2026-65113, получи CVSS оценка от 9.8. От NVIDIA заявиха, че проблемът е свързан с твърдо кодирани идентификационни данни в Infrastructure Controller за Linux.
Отдалечен, неавтентифициран атакуващ би могъл потенциално да експлоатира уязвимостта, за да придобие повишени привилегии, да манипулира данни, да предизвика отказ от обслужване или да разкрие информация.
NVIDIA отстрани и CVE-2026-65128 – SQL инжекция с CVSS оценка 8.8. Успешната експлоатация може да позволи изпълнение на код, манипулиране на данни, прекъсване на услугата и разкриване на информация. Уязвимостта изисква ниски привилегии и не изисква взаимодействие с потребителя.
Други проблеми с висока степен на сериозност включват липсваща или неправилна автентификация, OS команда инжекция и неправилна валидация на сертификати.
| CVE ID | Уязвимост | CVSS v3.1 | Сериозност | CWE |
|---|---|---|---|---|
| CVE-2026-65113 | Use of hard-coded credentials | 9.8 | Critical | CWE-798 |
| CVE-2026-65128 | SQL injection | 8.8 | High | CWE-89 |
| CVE-2026-65114 | Missing authentication for critical function | 8.3 | High | CWE-306 |
| CVE-2026-65121 | Improper authentication | 8.2 | High | CWE-287 |
| CVE-2026-65130 | OS command injection | 8.0 | High | CWE-78 |
| CVE-2026-65118 | Improper certificate validation | 7.5 | High | CWE-295 |
| CVE-2026-65129 | Improper certificate validation | 6.7 | Medium | CWE-295 |
| CVE-2026-65125 | External control of file name or path | 6.6 | Medium | CWE-73 |
| CVE-2026-65115 | Uncontrolled resource consumption | 6.5 | Medium | CWE-400 |
| CVE-2026-65112 | Uncontrolled resource consumption | 6.5 | Medium | CWE-400 |
| CVE-2026-65124 | XML injection | 5.9 | Medium | CWE-91 |
| CVE-2026-65126 | Improper enforcement of behavioral workflow | 5.0 | Medium | CWE-841 |
| CVE-2026-65117 | Use of hard-coded password | 5.0 | Medium | CWE-259 |
| CVE-2026-65127 | Exposure of sensitive system information through uncleared debug information | 4.1 | Medium | CWE-1258 |
CVE-2026-65114, оценена с 8.3, би могла да позволи подправяне на данни, отказ от обслужване и разкриване на информация поради липса на подходяща автентификация при критична функция. CVE-2026-65121, оценена с 8.2, би могла да позволи ескалация на привилегии и разкриване на данни поради неправилна автентификация.
Актуализацията също така разрешава CVE-2026-65130 – инжектиране на команди в операционната система с CVSS оценка 8.0. Въпреки че експлоатацията изисква високи привилегии и висока сложност на атаката, успешната атака би могла да доведе до изпълнение на код и пълно компрометиране на поверителността, интегритета и наличността.
Допълнителните корекции за сигурност се справят с две уязвимости за неконтролирана консумация на ресурси, CVE-2026-65115 и CVE-2026-65112, и двете с оценка 6.5. Автентифициран атакуващ би могъл да експлоатира тези проблеми, за да предизвика отказ от обслужване.
NVIDIA отстрани също и външния контрол върху файлови пътища, XML инжекция, използването на твърдо кодирани пароли, проблеми с валидирането на сертификати и неправилното прилагане на работните процеси.
Внедряванията на Infrastructure Controller могат да се използват в среди, управляващи инфраструктурни компоненти на NVIDIA, което прави своевременното отстраняване на уязвимостите изключително важно.
Организациите трябва да идентифицират системите, изпълняващи версии от 0 до 1.9 на Infrastructure Controller, да ги обновят до версия 2.0 или по-нова и да прегледат изложените услуги, контрола на достъпа, идентификационните данни, логовете и мрежовата сегментация.
От NVIDIA отбелязаха, че оценките за сериозност отразяват средния риск за различни среди и може да не представят риска за всяка конкретна инсталация. Екипите по сигурност трябва да оценят риска въз основа на своите конфигурации, потребителски привилегии, мрежова достъпност и оперативната роля на засегнатия контролер.