شرکت NVIDIA به‌روزرسانی امنیتی جدیدی را برای نرم‌افزار Infrastructure Controller در محیط لینوکس منتشر کرد. این به‌روزرسانی شامل رفع ۱۴ آسیب‌پذیری است که در صورت عدم اصلاح، می‌توانند به مهاجمان اجازه دهند تا به اطلاعات حساس سیستم دسترسی پیدا کنند، کدهای مخرب را اجرا نمایند، داده‌ها را تغییر دهند یا محیط‌های عملیاتی را مختل کنند.
جزئیات آسیب‌پذیری‌های شناسایی شده
طبق بولتن امنیتی سپتامبر ۲۰۲۶، نسخه‌های ۰ تا ۱.۹ این نرم‌افزار تحت تأثیر قرار دارند. یکی از بحرانی‌ترین این موارد، آسیب‌پذیری CVE-2026-65113 با امتیاز CVSS 9.8 است. این نقص امنیتی به دلیل وجود Hard-coded Credentials (اعتبارنامه‌های سخت‌افزاری) رخ داده است و به یک مهاجم راه دور و بدون نیاز به احراز هویت (Unauthenticated) اجازه می‌دهد تا دسترسی‌های خود را ارتقا داده، داده‌ها را دستکاری کند یا حملات Denial-of-Service (DoS) اجرا نماید.
علاوه بر این، آسیب‌پذیری CVE-2026-65128 با امتیاز ۸.۸، یک نقص از نوع SQL Injection است که می‌تواند منجر به اجرای کد (Code Execution) و افشای اطلاعات شود. این مورد نیازی به تعامل کاربر ندارد و تنها با دسترسی‌های سطح پایین قابل بهره‌برداری است.
سایر موارد امنیتی
- CVE-2026-65114 (امتیاز ۸.۳): نقص در احراز هویت توابع حیاتی که منجر به دستکاری داده‌ها و DoS می‌شود.
- CVE-2026-65121 (امتیاز ۸.۲): ارتقای سطح دسترسی (Privilege Escalation) به دلیل احراز هویت نادرست.
- CVE-2026-65130 (امتیاز ۸.۰): تزریق دستورات سیستم‌عامل (OS Command Injection) که در صورت موفقیت، منجر به به خطر افتادن کامل محرمانگی، یکپارچگی و در دسترس بودن سیستم می‌گردد.
- CVE-2026-65127 (امتیاز ۴.۱): افشای اطلاعات حساس سیستم از طریق باقی‌مانده‌های Debugging.
توصیه‌های امنیتی برای مدیران SOC و مهندسان امنیت
با توجه به اینکه این نرم‌افزار در محیط‌هایی که اجزای زیرساختی NVIDIA را مدیریت می‌کنند مستقر است، سرعت در به‌روزرسانی حیاتی است. سازمان‌ها باید اقدامات زیر را سریعاً اجرا کنند:
- شناسایی تمامی سیستم‌های دارای نسخه‌های ۰ تا ۱.۹ و به‌روزرسانی آن‌ها به نسخه ۲.۰ یا بالاتر.
- بازبینی سرویس‌های در معرض دید (Exposed Services) و کنترل‌های دسترسی.
- بررسی مجدد اعتبارنامه‌ها (Credentials)، لاگ‌ها و استراتژی‌های بخش‌بندی شبکه (Network Segmentation).
