NVIDIA NeMo框架漏洞可允许代码注入与权限提升

NVIDIA 发布了一项关键安全更新，解决了其 NeMo 框架中的两个高严重性漏洞，这些漏洞可能允许攻击者在受影响的系统上执行恶意代码并提升权限。

这些漏洞被跟踪为 CVE-2025-23361 和 CVE-2025-33178，CVSS 评分均为 7.8，并影响所有平台上 2.5.0 版之前的所有版本的 NeMo Framework。

NVIDIA NeMo 框架漏洞

第一个漏洞 CVE-2025-23361 存在于框架脚本中，攻击者的恶意输入可能会导致对代码生成的控制不当。

第二个缺陷 CVE-2025-33178 驻留在 Bert 服务组件中，允许通过恶意数据进行代码注入。

这两个漏洞共享相同的攻击媒介，并且需要以低权限进行本地访问。

成功利用可能会导致代码执行、权限升级、信息泄露和数据纵，给使用该框架的组织带来重大风险。

这些漏洞是由腾讯AISec和清华大学NISL实验室的安全研究人员发现并报告的，凸显了协同安全研究的重要性。

2.5.0 之前的所有 NVIDIA NeMo Framework 版本都容易受到攻击，无论作系统或平台如何。使用早期软件分支版本的组织也面临风险，应立即升级。

NVIDIA 建议用户克隆或更新到 NeMo Framework 2.5.0 或更高版本，可从官方 NVIDIA GitHub 存储库和 PyPI 包管理器获得。

该公司强调，使用早期分支版本的用户应升级到最新的分支版本。

组织应评估其特定配置并及时应用安全更新，以降低潜在的利用风险。

原文始发于微信公众号（网安百色）：NVIDIA NeMo框架漏洞可允许代码注入与权限提升