CVE-2025-23266: container escape NVIDIA con tre righe di…

Il toolkit di orchestrazione GPU di NVIDIA contiene una vulnerabilità critica che permette escape dai container e privilege escalation su infrastrutture AI cloud

Il 18 luglio 2025 i ricercatori Wiz Nir Ohfeld e Shir Tamari hanno pubblicato l'analisi di CVE-2025-23266, una vulnerabilità critica nel NVIDIA Container Toolkit che permette a un attaccante di rompere l'isolamento container-to-host con un Dockerfile di tre righe. La falla colpisce direttamente le infrastrutture AI multi-tenant, dove la separazione tra tenant è spesso affidata esclusivamente al perimetro container.

Punti chiave

CVE-2025-23266 ha CVSS 9.0/10 e colpisce NVIDIA Container Toolkit fino alla versione 1.17.7 e GPU Operator fino alla 25.3.0.
L'exploit sfrutta un hook OCI createContainer che esegue con working directory sul root filesystem del container, caricando librerie malevole via LD_PRELOAD senza validazione del percorso.
Secondo l'analisi Wiz citata da The Hacker News, circa il 37% degli ambienti cloud risulta esposto alla vulnerabilità.
È la terza falla critica o high nella stessa componente in meno di dodici mesi, dopo CVE-2024-0132 (CVSS 9.0) e CVE-2025-23359 (CVSS 8.3).

Il meccanismo: un hook privilegiato che legge dal filesystem del container

Il cuore della vulnerabilità risiede in una scelta architetturale del NVIDIA Container Toolkit. Quando il runtime containerd o Docker avvia un container con supporto GPU, l'hook createContainer del toolkit viene eseguito con privilegi elevati sul nodo host. Secondo l'analisi Wiz, questo hook imposta come working directory il root filesystem del container in fase di inizializzazione.

Questa configurazione permette a un attaccante che controlla il contenuto dell'immagine container di posizionare una libreria condivisa malevola in un percorso prevedibile e di forzarne il caricamento tramite la variabile d'ambiente LD_PRELOAD. Il codice dell'attaccante viene eseguito nel contesto di un processo privilegiato sul host, con piena capacità di compromettere l'intero nodo.

"By setting LD_PRELOAD in their Dockerfile, an attacker could instruct the nvidia-ctk hook to load a malicious library" — Nir Ohfeld e Shir Tamari, Wiz

I ricercatori hanno dimostrato che l'exploit richiede appena tre righe nel Dockerfile: una riga per copiare la libreria malevola nell'immagine, una per impostare la variabile d'ambiente, e il caricamento automatico dell'hook. La semplicità è funzionale alla natura del problema: non serve una catena di exploit sofisticata quando l'architettura stessa fornisce il canale di esecuzione privilegiata.

La stima di Wiz: un problema di scala, non di teoricità

L'analisi Wiz, citata da The Hacker News, stima che circa il 37% degli ambienti cloud sia esposto a questa vulnerabilità. Il dossier non specifica la metodologia esatta di campionamento né i criteri di inclusione adottati per questa stima. Resta tuttavia un dato indicativo della diffusione del NVIDIA Container Toolkit nelle infrastrutture AI, dove la componente è praticamente onnipresente nei deployment che utilizzano GPU per training e inference.

La natura multi-tenant delle piattaforme AI cloud amplifica il rischio. Un tenant con accesso legittimo a un container GPU può teoricamente compromettere il nodo fisico sottostante, con accesso a dati, modelli e workload di altri tenant sulla stessa macchina. La fonte non documenta incidenti accertati di questo tipo né attacchi in-the-wild, ma il modello di minaccia è tecnicamente valido e immediatamente esponibile.

Un pattern ricorrente che interroga lo stack software NVIDIA

CVE-2025-23266 non è un caso isolato. Nello stesso componente, nel giro di meno di un anno, si registrano CVE-2024-0132 con identico punteggio CVSS 9.0 e CVE-2025-23359 con CVSS 8.3. La ripetizione di falle critiche nella stessa superficie d'attacco — il percorso di inizializzazione container per GPU — solleva interrogativi sulla postura di sicurezza dello stack software che sorregge buona parte dell'AI cloud globale.

Nel dettaglio tecnico, CVE-2024-0132 presentava un vettore diverso (network-based con interazione utente, CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H) ma identica severità, mentre CVE-2025-23359 ha un profilo di attacco leggermente più ristretto (network, alta complessità, CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H). Le tre vulnerabilità non sono equivalenti nel meccanismo, ma condividono la localizzazione in una componente infrastrutturale che molti operatori trattano come opaca e affidabile.

"While the hype around AI security risks tends to focus on futuristic, AI-based attacks, 'old-school' infrastructure vulnerabilities in the ever-growing AI tech stack remain the immediate threat that security teams should prioritize" — Wiz

La constatazione dei ricercatori Wiz ha un corollario operativo: le discussioni sulla sicurezza AI tendono a polarizzarsi su rischi speculativi — manipolazione dei modelli, allucinazioni, attacchi adversarial — mentre le infrastrutture che ospitano e distribuiscono questi modelli presentano vulnerabilità classiche, spesso banali nell'exploit, con impatto sistemico.

Cosa fare adesso

Le fonti convergono su un percorso di mitigazione immediato, con alcune specifiche tecniche documentate da Fidelis Security a supporto dell'advisory NVIDIA:

Aggiornare NVIDIA Container Toolkit alla versione 1.17.8 o successiva, e GPU Operator alla 25.3.1 o successiva, secondo quanto indicato nelle release notes ufficiali citate da The Hacker News.
Qualora l'aggiornamento non sia immediatamente applicabile, Fidelis Security documenta la possibilità di disabilitare l'hook specifico --disable-cuda-compat-lib-hook come mitigazione temporanea, con verifica di impatto sui workload CUDA dipendenti dalla compatibilità librerie.
Rivedere l'architettura di isolamento nei deployment multi-tenant GPU: i container non costituiscono barriera di sicurezza autonoma e la loro compromissione si traduce in accesso host in questo scenario specifico.
Auditare le immagini container in esecuzione su nodi GPU per presenza di variabili LD_PRELOAD non documentate o librerie condivise in percorsi anomali nel filesystem radice.

La fonte non specifica timestamp precisi di rilascio delle patch NVIDIA né fornisce indicazioni su procedure di rollback o testing dei workload post-aggiornamento. Il dossier non documenta inoltre misure di detection specifiche per identificare tentativi di exploit già avvenuti.

Il fondamento traballante dell'AI cloud

La lezione di NVIDIAScape trascende la singola vulnerabilità. L'AI cloud si è costruita su uno stack software — container orchestrator, runtime GPU, toolkit vendor — che eredita supposizioni di sicurezza mai verificate sotto la pressione di deployment massivi e multi-tenant. La facilità dell'exploit, tre righe di Dockerfile, è inversamente proporzionale alla sofisticazione dell'infrastruttura che esso compromette.

I ricercatori Wiz formulano esplicitamente una conclusione che molti operatori cloud hà storicamente ignorato: "containers are not a strong security barrier and should not be relied upon as the sole means of isolation". La constatazione diventa ingovernabile quando il container che fallisce è quello che inizializza l'accesso alle GPU su cui poglia l'intero business model dell'AI as-a-service. La sicurezza dell'AI cloud, al suo stato attuale, dipende dalla solidità di componenti software che mostrano pattern ricorrenti di fallimento.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti