CVE-2021-1056

CVE-2021-1056 هي ثغرة أمنية قمت بإرسالها إلى NVIDIA PSIRT. شخصياً، قد تؤدي إلى مخاطر أمنية عالية في مجموعات HPC متعددة المستأجرين، خاصة في منصات التعلم الآلي السحابية.

هذا المستودع يوضح ببساطة الثغرة في حاويات GPU التي تم إنشاؤها بواسطة nvidia-container-runtime.

كيف يعمل

من خلال إنشاء ملفات أجهزة أحرف محددة، يمكن للمهاجم في حاوية GPU (حاوية تم إنشاؤها بواسطة nvidia-container-runtime) الوصول إلى جميع أجهزة GPU على المضيف.

كما تعمل على pod GPU التي تم إنشاؤها بواسطة k8s-device-plugin في مجموعة kubernetes.

المتطلبات الأساسية

• Docker 19.03

• nvidia-container-toolkit

• NVIDIA Driver 418.87.01 / 450.51.05

• NVIDIA GPU Tesla V100 / TITAN V / Tesla K80

ملاحظة: تم تضمين عدد قليل فقط من بيئات الاختبار، ولكن ارجع إلى نشرة أمان NVIDIA، هذه الثغرة تعمل على جميع وحدات معالجة الرسوميات من سلسلة GeForce و NVIDIA RTX/Quadro و NVS و Tesla، وجميع إصدارات برامج التشغيل.

بداية سريعة

انظر QuickStart.md

كيفية الوقاية

موصى به

• ارجع إلى نشرة أمان NVIDIA أو قم بتحديث برنامج تشغيل GPU من NVIDIA

أو

• أضف الوسيط --cap-drop MKNOD إلى الأمر docker run لمنع استخدام mknod في الحاويات
• قم بتمكين security context في مجموعات kubernetes عند إنشاء pod

الترخيص

هذا المشروع مرخص بموجب رخصة MIT.

المشكلات والمساهمة

لا تتردد في تقديم المشكلات وطلبات السحب إذا كان لديك أي مشاكل.