CVE-2023-31030

NVIDIA DGX A100 BMC — stack overflow w demonze KVM umożliwia RCE

CVSS 9.3v3.1pub. 2024-01-12upd. 2024-11-21

Podatność w demonze KVM hosta w firmware BMC urządzeń NVIDIA DGX A100 pozwala nieuwierzytelnionemu atakującemu wywołać przepełnienie stosu (stack overflow) poprzez wysłanie specjalnie spreparowanego pakietu sieciowego. Skuteczne wykorzystanie podatności może prowadzić do wykonania dowolnego kodu, co czyni tę lukę wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

NVIDIA DGX A100 BMC contains a vulnerability in the host KVM daemon, where an unauthenticated attacker may cause a stack overflow by sending a specially crafted network packet. A successful exploit of this vulnerability may lead to arbitrary code execution, denial of service, information disclosure, and data tampering.

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowany pakiet sieciowy do demona KVM działającego na kontrolerze BMC (Baseboard Management Controller) urządzenia NVIDIA DGX A100. Pakiet ten powoduje przepełnienie bufora na stosie (stack-based buffer overflow, CWE-121, CWE-787), co umożliwia nadpisanie krytycznych struktur pamięci. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika, a jego skutki wykraczają poza izolowany komponent (scope changed).

Skutki

Atakujący może uzyskać możliwość wykonania dowolnego kodu (RCE) na podatnym urządzeniu, a także doprowadzić do odmowy usługi (DoS), ujawnienia poufnych informacji oraz manipulacji danymi.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez NVIDIA pod adresem: https://nvidia.custhelp.com/app/answers/detail/a_id/5510

Kogo dotyczy

NVIDIA DGX A100 oraz firmware BMC urządzeń NVIDIA DGX A100 — szczegółowe wersje wskazane w referencjach producenta (https://nvidia.custhelp.com/app/answers/detail/a_id/5510)