„`html
Zusammenfassung
CVE-2026-24218 ist eine High-Severity-Lücke in NVIDIA DGX OS, die während des Factory-Provisioning-Prozesses entsteht. Die klonbasierte Bereitstellung von Basis-Images führt dazu, dass identische SSH Host Keys auf mehreren Systemen deployed werden. Diese Wiederverwendung kryptographischer Identifikatoren ermöglicht Man-in-the-Middle-Angriffe und Host-Impersonation mit einem CVSS-Score von 8.1.
Betroffene Systeme
Die Lücke betrifft NVIDIA DGX OS Installationen, die über den standardisierten Factory-Provisioning-Prozess mit geklonten Base-Images bereitgestellt wurden. Betroffen sind potenziell alle DGX-Systeme in Rechenzentren und Enterprise-Umgebungen, die diesen Deployment-Prozess nutzen. Eine genaue Liste betroffener DGX OS Versionen ist vom Hersteller noch nicht veröffentlicht worden.
Technische Details
Das Vulnerability entsteht durch unzureichende Key-Generierung während des Image-Klonungsprozesses. Statt eindeutige SSH Host Keys für jedes System zu generieren, werden die Keys aus der Base-Image kopiert. Dies führt dazu, dass mehrere physikalisch getrennte DGX-Systeme identische Ed25519 oder RSA Host Keys besitzen.
Ein Angreifer im gleichen Netzwerk kann diese Schwachstelle ausnutzen, indem er sich als autorisierter Host ausgibt. Durch ARP-Spoofing oder DNS-Poisoning kann er Traffic umleiten und SSH-Sessions hijacken. Dies ermöglicht Remote Code Execution, Privilege Escalation und Zugriff auf sensitive HPC-Workloads und Daten.
Empfohlene Massnahmen
- Sofortmassnahmen: SSH Host Keys auf allen betroffenen Systemen regenerieren mittels `ssh-keygen` und `dpkg-reconfigure openssh-server`
- Netzwerk-Segmentierung: DGX-Systeme in isolierte VLANs mit Firewall-Rules platzieren
- Monitoring: SSH-Verbindungen und Host Key-Änderungen kontinuierlich überwachen
- Patch-Management: Auf NVIDIA-Security-Updates warten; das Unternehmen arbeitet an einem Fix
- Provisioning-Prozess: Zukünftige Deployments müssen eindeutige Keys per System generieren
Bewertung
Trotz fehlenden Patches ist schnelles Handeln essentiell. Die manuelle Key-Regeneration sollte innerhalb von 72 Stunden abgeschlossen sein. Die Kombination aus hohem CVSS-Score und praktischer Ausnutzbarkeit in Netzwerken macht dies zu einem kritischen Security-Incident für DGX-Betreiber.
„`