CVE-2024-0095

NVIDIA Triton Inference Server — log injection umożliwiający RCE i eskalację uprawnień

CVSS 9.0v3.1pub. 2024-06-13upd. 2025-09-26

NVIDIA Triton Inference Server dla systemów Linux i Windows zawiera podatność pozwalającą atakującemu na wstrzykiwanie sfałszowanych wpisów logów oraz wykonywalnych poleceń poprzez dowolne dane. Skuteczny atak może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia danych oraz ich modyfikacji.

▸ Pokaż oryginał (EN)

NVIDIA Triton Inference Server for Linux and Windows contains a vulnerability where a user can inject forged logs and executable commands by injecting arbitrary data as a new log entry. A successful exploit of this vulnerability might lead to code execution, denial of service, escalation of privileges, information disclosure, and data tampering.

🤖 Analiza AI

Jak działa

Podatność (CWE-117 — Improper Output Neutralization for Logs) polega na braku odpowiedniej sanityzacji danych wpisywanych do logów serwera. Atakujący może wstrzyknąć spreparowane dane, które są interpretowane jako nowe wpisy logów lub polecenia wykonywalne. Mechanizm ten może być wykorzystany zdalnie przez sieć bez interakcji użytkownika, choć wymaga posiadania uprawnień wysokiego poziomu (PR:H). Zakres podatności wykracza poza komponent źródłowy (Scope: Changed), co zwiększa potencjalny zasięg ataku.

Skutki

Atakujący może osiągnąć wykonanie dowolnego kodu (RCE), wywołać odmowę usługi (DoS), dokonać eskalacji uprawnień, uzyskać nieuprawniony dostęp do informacji oraz dokonać manipulacji danymi w systemie.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez NVIDIA pod adresem https://nvidia.custhelp.com/app/answers/detail/a_id/5546

Kogo dotyczy

NVIDIA Triton Inference Server w wersjach dla systemów Linux i Windows — konkretne wersje wskazane w referencjach producenta (https://nvidia.custhelp.com/app/answers/detail/a_id/5546)