Lỗ hổng Nvidia DCGM Exporter có thể làm sập giám sát GPU
"Researchers found thousands of internet-exposed Nvidia DCGM Exporter instances on GPU servers, with about 2,100 hosts exposing unauthenticated telemetry and some also leaking Go pprof profiling data. Nvidia fixed a high-severity denial-of-service flaw tracked as CVE-2026-47483 in DCGM Exporter version 4.8.2; concurrent unauthenticated requests could exhaust memory, crash the monitoring service, and potentially disrupt AI training or inference workloads."
Rủi ro từ chối dịch vụ đối với giám sát GPU, kèm khả năng lộ telemetry và hỗ trợ trinh sát hạ tầng cho kẻ tấn công.
Có thể làm gián đoạn AI training/inference, giảm khả năng quan sát vận hành và tăng rủi ro cho các cụm GPU quy mô lớn.
Các nhà nghiên cứu đã phát hiện hàng nghìn máy chủ GPU trên Internet đang công khai Nvidia DCGM Exporter, trong đó khoảng 2.100 host lộ dữ liệu telemetry không cần xác thực. Một phần hệ thống còn vô tình công khai thêm dữ liệu từ Go pprof. Nvidia đã phát hành bản vá cho lỗi từ chối dịch vụ được theo dõi là CVE-2026-47483 trong DCGM Exporter 4.8.2, với mức độ nghiêm trọng 8.2 CVSS.
Theo báo cáo, kẻ tấn công có thể gửi nhiều yêu cầu đồng thời để làm cạn bộ nhớ, khiến dịch vụ giám sát GPU bị treo hoặc sập. Điều này làm mất khả năng quan sát tình trạng GPU và có thể ảnh hưởng đến AI training hoặc inference đang chạy trên cùng hạ tầng. Dữ liệu bị lộ cũng có thể hỗ trợ trinh sát hạ tầng, bao gồm UUID GPU, mức sử dụng, bộ nhớ, điện năng và lỗi phần cứng.
Nhóm nghiên cứu cũng ghi nhận hơn 12.096 host Prometheus Node Exporter công khai trên Internet. Khuyến nghị cho quản trị viên là nâng cấp lên 4.8.2 hoặc mới hơn, đồng thời không để DCGM Exporter, Node Exporter và Prometheus truy cập trực tiếp từ Internet; nên giới hạn bằng mạng nội bộ, danh sách cho phép và lớp xác thực phù hợp.