Mobile-Menu

Fehler in der Authentifizierung ZDI macht zwei Zero Days in Nvidias AIStore publik

Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Zwei Sicherheitslücken in AIStore von Nvidia können die Authentifizierung aus­hebeln. Hinsichtlich der Schwere der Schwachstellen sind sich die Sicher­heitsforscher und der Hersteller uneins, dennoch sollte die neueste Version des Speichersystems zeitnah installiert werden.

Die Sicherheitslücken in Nvidia AIStore ermöglichen ohne Anmeldung das Umgehen der Authentifizierung und können zur Offenlegung von Nutzerdaten, Rechteausweitung und Manipulation von Daten führen.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)
Die Sicherheitslücken in Nvidia AIStore ermöglichen ohne Anmeldung das Umgehen der Authentifizierung und können zur Offenlegung von Nutzerdaten, Rechteausweitung und Manipulation von Daten führen.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Die Zero Day Initiative (ZDI) von Trend Micro hat zwei Sicherheitslücken an Nvidia gemeldet, die AIStore betreffen. Dieser ist ein verteiltes Objektspeichersystem, das speziell für AI‑ und ML‑Workloads entwickelt wurde, um große Trainings‑ und Inferenzdatensätze skalierbar und performant zu speichern. Bei den Zero-Day-Schwachstellen, die die ZDI entdeckt hat, handelt es sich um Fehler im Authentifizierungsprozess.

Festcodierte und offengelegte Anmeldeinformationen

Bei dem von der ZDI gemeldeten Sicherheitslücken handelt es sich um CVE-2025-33185 und CVE-2025-33186. Während die ZDI CVE-2025-33185 mit einem CVSS-Score von 7.5 und CVE­2025-33186 mit einem CVSS-Score von 9.8 einstuft, vergibt Nvidia selbst, die die Schwach­stellen als zuständige CNA (CVE Numbering Authority) an die National Vulnerability Database sowie CVE-Datenbank der Mitre Corporation gemeldet hat, die Base-Scores 5.3 sowie 8.8.

Die Informationen von Nvidia zu den Schwachstellen, die im August von der ZDI entdeckt und im November an den Hersteller gemeldet wurden, sind jedoch knapp. Zu CVE-2025-33185 heißt es, dass Nvidia AIStore eine Schwachstelle in der Authentifizierung aufweist, durch die ein nicht authentifizierter Benutzer Informationen offenlegen kann. Ähnlich verhält es sich mit CVE­2025-33186. Eine erfolgreiche Ausnutzung dieser Sicherheitslücke kann zu einer Rechte­aus­weitung sowie Offenlegung von Informationen und Datenmanipulation führen. Die Zero Day Initiative liefert zumindest ein paar ergänzende Details: So befinde sich der Fehler hinter CVE­2025-33185 direkt auf dem Endgerät des Users. Der Bug in der Authentifizierung sorge dafür, dass ein Cyberangreifer gespeicherte Nutzernamen offenlegen und das System weiter kom­pro­mittieren könne. Auch für die Ausnutzung von CVE-2025-33186 ist laut ZDI keine Au­then­tifizierung vorab erforderlich, denn Angreifer könnten die Authentifizierung umgehen. Die Ursache dieser Schwachstelle liege in der Verwendung fest codierter Anmeldeinformationen.

Betroffen von den Zero-Day-Schwachstellen sind alle Versionen von Nvidia AIStore vor 3.31. Nutzer sollten – unabhängig von den unterschiedlichen CVSS-Scores – ihr eigenes Risiko abschätzen und dahingehend das Installieren der neusten Version 3.31, die die Sicher­heits­updates enthält, priorisieren.

(ID:50636959)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte