NvRoot и ForgePtr: выход из GPU-контейнера в root хоста, впереди ещё 25 CVE

Что случилось

12 ноября исследовательская группа Stealthium опубликовала две уязвимости в открытых модулях ядра NVIDIA для Linux: ForgePtr (CVE-2026-47501) и NvRoot (CVE-2026-47591). Обе получили оценку 7,8 по CVSS и обе опаснее всего для тех, кто сдаёт в аренду GPU-срезы: из контейнера с видеокартой можно выйти на хост. Это только первые две из 25 готовящихся публикаций по стеку NVIDIA AI runtime.

Детали

ForgePtr позволяет непривилегированному процессу внутри GPU-контейнера получить root на хосте. NvRoot даёт возможность переписать через GPU файлы, которые операционная система пометила как доступные только для чтения, — причём из любого арендатора на этой ноде. По словам исследователей, обе ошибки присутствовали в открытых модулях ядра NVIDIA последние четыре года.

• NvRoot закрывается драйверами 610.57.04, 595.91.07 и 580.178.04.
• ForgePtr исправлен в выпуске 615.71.09.
• Оценка обеих — 7,8 (high), статус CVE.
• Stealthium обещает ещё 25 раскрытий, затрагивающих стек NVIDIA AI runtime.

Показательно распределение исправлений: NvRoot закрыт сразу в трёх ветках — 610.57.04, 595.91.07 и 580.178.04, то есть поддержка длительных веток учтена. ForgePtr по опубликованным данным исправлен только в 615.71.09, поэтому установки, удерживаемые на 580-й или 595-й ветке, получают защиту лишь от части проблем.

Публикация совпала по времени с новостью об уходе Дженса Хуанга с поста главы NVIDIA: у исследователей истёк срок эмбарго, и они выпустили первые два отчёта, пообещав остальные в ближайшее время. Проверить версию модуля на ноде несложно — достаточно nvidia-smi или modinfo nvidia, а в кластере с несколькими нодами полезно свериться с тем, что фактически загружено, а не только с тем, что записано в манифестах DaemonSet.

Что это значит

Изоляция GPU в мультитенантных кластерах держится на предположении, что видеокарта не может ни обойти права файловой системы, ни выбраться из контейнера. Обе уязвимости это предположение ломают, а потому важны не только владельцам облаков с GPU-срезами, но и всем, кто запускает недоверенные нагрузки на общих GPU в Kubernetes или через vGPU/MIG.

Практический вывод простой: обновить драйверы до указанных выпусков, а до обновления не давать арендаторам и чужим командам доступ к GPU-контейнерам на общих нодах. Отдельно стоит учесть, что за первыми двумя CVE последуют ещё 25 — значит, план обновления драйверов имеет смысл сделать регулярным, а не разовым, и заранее продумать, как выкатывать новые версии NVIDIA на ноды без простоя: смена драйвера требует перезагрузки или, как минимум, выгрузки всех процессов, использующих GPU.