NVIDIA Container Toolkit 코드 실행 공격 취약점 (CVE-2025-23359)

NVIDIA Container Toolkit Vulnerable to Code Execution Attacks

NVIDIA Container Toolkit Vulnerable to Code Execution Attacks

 

• 취약점 개요
  • NVIDIA가 Linux용 NVIDIA Container Toolkit의 고위험 취약점을 해결하기 위해 보안 업데이트를 발표
  • CVE-2025-23359로 추적되는 이 취약점은 검사 시점-사용 시점 (TOCTOU, Time-of-check time-of-use) 취약점으로, 공격자가 호스트 파일 시스템에 비인가 접근할 수 있도록 허용
  • 주요 영향: 코드 실행, 서비스 거부 (DoS), 권한 상승, 데이터 변조, 정보 노출
• 취약점 세부 내용
  • 영향을 받는 버전
    • NVIDIA Container Toolkit: 1.17.3 이하 모든 버전
    • NVIDIA GPU Operator: 24.9.1 이하 모든 버전
  • CVSS v3.1 기준 위험도 점수: 8.3 (높음)
  • 공격자는 특수하게 조작된 컨테이너 이미지를 이용하여 취약점을 악용할 수 있음
  • CWE-367: 파일의 안전하지 않은 처리 구조로 인해 공격자가 기본 방어 체계를 우회 가능
• 영향 및 위험
  • 코드 실행: 악의적인 코드를 시스템에서 실행할 수 있음
  • 시스템 충돌: 서비스 거부(DoS) 공격을 통한 시스템 불안정 유발 가능
  • 권한 상승: 일반 사용자 권한에서 관리자 권한으로 상승 가능
  • 데이터 노출 및 변조: 민감한 정보를 탈취하거나 데이터를 변경할 수 있음
  • 시스템 환경에 따라 위험도가 달라질 수 있음
• 보안 권고
  • NVIDIA에서 제공하는 수정된 소프트웨어
    • Container Toolkit: 1.17.4 버전으로 업데이트
    • GPU Operator: 24.9.2 버전으로 업데이트
  • NVIDIA 공식 문서의 지침에 따라 최신 버전으로 업데이트 권장
  • 업데이트를 적용하지 않을 경우 시스템이 공격에 노출될 수 있음
  • 패치 적용 시 변화
    • CUDA 호환 라이브러리가 더 이상 기본 라이브러리 경로에 자동으로 마운트되지 않음
    • 기존 설정을 유지해야 하는 사용자를 위해 allow-cuda-compat-libs-from-container 기능 플래그를 도입
    • 이 플래그 사용은 권장되지 않으며, 사용 시 취약점이 재도입될 수 있음
    • CUDA 호환성에 의존하는 애플리케이션의 경우 LD_LIBRARY_PATH를 수동으로 설정하여 /us**r/local/cuda/compat를 포함해야 함
    • 이 방법은 다양한 드라이버 버전을 사용할 때 호환성 문제가 발생할 수 있음
• 결론
  • 최신 보안 패치를 즉시 적용하여 시스템을 보호
  • NVIDIA의 제품 보안 게시판을 통해 최신 보안 공지를 지속적으로 모니터링
  • 가능하다면 새로운 보안 설정을 사용하고, 레거시 설정 사용을 자제
  • 시스템의 LD_LIBRARY_PATH 설정을 신중히 관리하고, 필요 시 수동 설정을 적용