CVE-2026-24231
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
NVIDIA NemoClaw zawiera podatność w komponencie ochrony SSRF validateEndpointUrl(), gdzie atakujący może wywołać server-side request forgery, dostarczając spreparowany URL endpointu odwołujący się do zakresu adresów 0.0.0.0/8 poprzez plik konfiguracyjny blueprint lub flagę CLI. Skuteczne wykorzystanie może prowadzić do ujawnienia informacji.
Ocena ryzyka
Atakujący może wymusić na serwerze żądania do wewnętrznych zasobów, co może skutkować ujawnieniem informacji. Ryzyko dotyczy środowisk, w których konfiguracja NemoClaw jest kontrolowana przez niezaufane źródła.
Rekomendacja
Zaktualizuj NVIDIA NemoClaw do wersji z poprawką walidacji endpointów. Ogranicz możliwość modyfikacji plików blueprint i flag CLI do zaufanych operatorów.
Inne podatności w NVIDIA NemoClaw
Zobacz wszystkie- CVE-2026-65105Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w konfiguracji serwera inferencyjnego, gdzie zdalny atakujący może uzyskać dostęp do usługi inferencyjnej bez uwierzytelnienia. Udane wykorzystanie tej podatności może prowadzić do ujawnienia informacji oraz odmowy usługi.
- CVE-2026-65099Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w interfejsie wiersza poleceń, która umożliwia atakującemu wstrzyknięcie komend systemu operacyjnego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, manipulacji danymi, ujawnienia informacji oraz odmowy usługi.
- CVE-2026-65098Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w przepływie pracy zdalnego dostępu, która może prowadzić do słabego uwierzytelnienia. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, ujawnienia informacji oraz manipulacji danymi.
- CVE-2026-65097Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w skryptach instalacyjnych, gdzie atakujący może spowodować pobranie kodu bez sprawdzenia integralności. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.
- CVE-2026-65096Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w komponencie mostka Telegram, gdzie atakujący może spowodować wstrzyknięcie komend systemu operacyjnego. Udane wykorzystanie tej podatności może prowadzić do wykonania kodu, eskalacji uprawnień, ujawnienia informacji oraz manipulacji danymi.
- CVE-2026-65090Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w komponencie zarządzania NIM, która umożliwia atakującemu wstrzyknięcie poleceń systemu operacyjnego. Udane wykorzystanie może prowadzić do wykonania kodu, manipulacji danymi, ujawnienia informacji i odmowy usługi.
- CVE-2026-65089Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w komendach wtyczek statusu i logów, która umożliwia atakującemu wstrzyknięcie poleceń systemu operacyjnego. Udane wykorzystanie może prowadzić do wykonania kodu, manipulacji danymi, ujawnienia informacji i odmowy usługi.
- CVE-2026-65088Średnie
NVIDIA NemoClaw zawiera podatność, która pozwala atakującemu na wywołanie procesu z wykorzystaniem widocznych wrażliwych informacji. Udane wykorzystanie może prowadzić do ujawnienia informacji.
- CVE-2026-65087Średnie
NVIDIA NemoClaw zawiera podatność, która pozwala atakującemu na niewystarczającą ochronę poświadczeń. Skuteczne wykorzystanie tej podatności może prowadzić do ujawnienia informacji i manipulacji danymi.
- CVE-2026-65084Wysokie
NVIDIA NemoClaw dla systemu Linux zawiera podatność w procesie wdrażania, która umożliwia atakującemu niewłaściwą walidację certyfikatów. Udane wykorzystanie może prowadzić do ujawnienia informacji, manipulacji danymi, wykonania kodu i eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
NVIDIA NemoClaw contains a vulnerability in the validateEndpointUrl() SSRF protection component, where an attacker could cause a server-side request forgery by supplying a crafted endpoint URL referencing the 0.0.0.0/8 address range through a blueprint configuration file or CLI flag. A successful exploit of this vulnerability may lead to information disclosure.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS