英偉達漏洞致 AI 與機器人平臺面臨遠程代碼執(zhí)行和數據泄露風險
英偉達已針對其Jetson Linux和IGX平臺發(fā)布安全更新，修復了兩個可能導致系統(tǒng)遭受代碼執(zhí)行、數據篡改、服務拒絕和信息泄露的漏洞。這兩個編號為CVE-2025-23270和CVE-2025-23269的漏洞影響廣泛用于人工智能、機器人和嵌入式邊緣計算的Jetson Orin及Xavier系列產品。
高危UEFI管理漏洞
其中更嚴重的CVE-2025-23270漏洞CVSS基礎評分為7.1分，影響Jetson Linux的UEFI（統(tǒng)一可擴展固件接口）管理模式。該漏洞允許本地低權限攻擊者利用側信道缺陷，可能導致：
- 任意代碼執(zhí)行
- 關鍵數據篡改
- 系統(tǒng)服務拒絕
- 敏感信息泄露
英偉達警告稱："成功利用此漏洞可能導致代碼執(zhí)行、數據篡改、服務拒絕和信息泄露"。該漏洞源于UEFI隔離環(huán)境中對敏感操作的不安全處理，推測執(zhí)行和共享硬件狀態(tài)可能無意間跨越權限邊界泄露信息。
內核級信息泄露風險
第二個漏洞CVE-2025-23269是CVSS評分4.7的內核漏洞，允許具備本地低權限的攻擊者通過共享微架構預測器利用瞬態(tài)執(zhí)行行為。英偉達表示："成功利用此漏洞可能導致信息泄露"。雖然比CVE-2025-23270更難利用，但這個內核級問題可能成為旨在提升權限或從內存提取敏感信息的鏈式攻擊的跳板。
受影響產品及修復方案
這些漏洞影響多款英偉達嵌入式系統(tǒng)，特別是使用Jetson Linux和IGX OS的設備。已發(fā)布以下補丁：
產品系列 | 受影響版本 | 已修復版本 |
Jetson Orin系列 | JP5.x < 35.6.2, JP6.x < 36.4.4 | 35.6.2 / 36.4.4 |
Jetson Xavier系列 | JP5.x < 35.6.2 | 35.6.2 |
IGX Orin | IGX OS < 1.1.2 | IGX 1.1.2 |
使用Jetson平臺開發(fā)機器人、自動駕駛汽車、邊緣AI或工業(yè)自動化系統(tǒng)的管理員和開發(fā)人員應立即更新系統(tǒng)。
