「NVIDIA runx」に脆弱性 - サポート終了により修正予定なし

NVIDIAのコンテナ関連ツール「NVIDIA runx」にコードインジェクションの脆弱性が判明した。サポートが終了しており、修正パッチの提供はないとしている。

同製品は、コンテナランタイム「runc」をベースとしてGPUをコンテナ環境で利用するために開発されたソフトウェア。同社は現地時間2026年1月27日にセキュリティアドバイザリを公開し、脆弱性「CVE-2025-33234」について明らかにした。

入力検証処理の不備により、ローカル環境において低権限のユーザーによってコードインジェクションが可能。任意のコードが実行できるほか、権限の昇格、サービス拒否、情報漏洩、データの改ざんなどが生じるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.8」、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングしている。

ライフサイクルが終了する以前に脆弱性が発見されたものの、現在はサポートの終了に至っており、同社はアップデートを提供することなく、アドバイザリの公開にとどめた。

（Security NEXT - 2026/01/30 ）ツイート