Cảnh báo lỗ hổng chưa được vá hoàn toàn trong NVIDIA Toolkit có thể đe dọa hệ thống

[WhiteHat Team]

Trong một phát hiện mới nhất, các chuyên gia an ninh mạng đã cảnh báo về lỗ hổng bảo mật nghiêm trọng CVE-2024-0132 (điểm CVSS: 9,0) trong NVIDIA Container Toolkit vẫn chưa được xử lý triệt để, mặc dù trước đó đã được NVIDIA công bố bản vá vào tháng 9 năm 2024.

​

Điều này có nghĩa là các hệ thống đang sử dụng công cụ này vẫn đối mặt với nguy cơ bị khai thác để thoát khỏi container, truy cập vào hệ điều hành chủ và thực thi mã độc với quyền root - một trong những kiểu tấn công nguy hiểm nhất trong môi trường container hóa.

CVE-2024-0132: Lỗ hổng TOCTOU nguy hiểm đe dọa phá vỡ cách ly container​

Lỗ hổng CVE-2024-0132 là một lỗi Time-of-Check Time-of-Use (TOCTOU). Cụ thể, kẻ tấn công có thể khai thác thời điểm giữa việc kiểm tra quyền truy cập và việc sử dụng tài nguyên để thực hiện hành vi độc hại. Lỗi này ảnh hưởng đến NVIDIA Container Toolkit phiên bản 1.17.4 khi tùy chọn allow-cuda-compat-libs-from-container được bật.

Kẻ tấn công có thể tạo một container được thiết kế đặc biệt để truy cập vào hệ thống file của host và thực thi lệnh tùy ý với quyền quản trị (root). Tuy nhiên, điều kiện tiên quyết là kẻ tấn công phải có khả năng thực thi mã bên trong container từ trước.

CVE-2025-23359: Lỗ hổng mới cho phép vượt qua bản vá của CVE-2024-0132​

Chưa dừng lại ở đó, trong quá trình nghiên cứu, bản vá gốc cho CVE-2024-0132 không giải quyết triệt để vấn đề. Một lỗ hổng mới mang mã định danh CVE-2025-23359 (CVSS: 9,0) được phát hiện cũng cho phép vượt qua cơ chế bảo mật của bản vá cũ.

CVE-2025-23359 tồn tại trong hàm mount_files, nơi thiếu cơ chế lock đồng bộ khi thực hiện thao tác trên các đối tượng. Lỗi này cho phép hacker leo thang đặc quyền và thực thi mã độc trên hệ điều hành chủ, gây ảnh hưởng nghiêm trọng đến tính bảo mật của toàn hệ thống.

Phát hiện thêm: Vấn đề hiệu suất nghiêm trọng trên Docker/Linux có thể gây tấn công từ chối dịch vụ (DoS)​

Điểm đáng chú ý là trong quá trình phân tích lỗ hổng bảo mật CVE-2024-0132, các chuyên gia đã phát hiện thêm một vấn đề hiệu suất nghiêm trọng trên các hệ thống sử dụng Docker trong môi trường Linux. Cụ thể, khi tạo container với nhiều mount sử dụng tùy chọn bind-propagation=shared, hệ thống sẽ thiết lập các đường dẫn cha/con, nhưng không tự động dọn dẹp các mục này khỏi bảng mount sau khi container bị dừng.

Hậu quả là bảng mount tăng trưởng không kiểm soát, dẫn đến tình trạng hết file descriptor (fd) – một tài nguyên hệ thống quan trọng. Khi fd bị cạn kiệt, Docker sẽ không thể tạo container mới, và người dùng thậm chí không thể kết nối SSH vào máy chủ, gây ra tình trạng từ chối dịch vụ (DoS) nghiêm trọng.

Sự cố này không chỉ khiến hệ thống bị nghẽn, mà còn có thể làm tê liệt toàn bộ hoạt động, đặt doanh nghiệp vào tình trạng gián đoạn dịch vụ trên diện rộng nếu không được phát hiện và xử lý kịp thời.

Trước những rủi ro nghiêm trọng trên, các chuyên gia khuyến cáo:

• Theo dõi bảng mount của Linux để phát hiện sự tăng trưởng bất thường.
• Giới hạn quyền truy cập Docker API chỉ cho người dùng đã được xác thực.
• Tăng cường chính sách kiểm soát truy cập, đặc biệt là đối với các container có quyền truy cập tài nguyên hệ thống.
• Thường xuyên kiểm tra và audit cấu hình Docker, đặc biệt là các kết nối giữa container và host (volume mounts, socket, filesystem...).
• Cập nhật ngay lên phiên bản mới nhất của NVIDIA Container Toolkit để nhận các bản vá đầy đủ nhất.

Các tổ chức, doanh nghiệp cần liên tục kiểm tra, giám sát và cập nhật hệ thống, đồng thời phối hợp chặt chẽ với các nhà cung cấp phần mềm để đảm bảo các lỗ hổng được xử lý triệt để.

Theo The Hacker News​