ثغرة TOCTOU في أدوات NVIDIA تعرّض الأنظمة للخطر رغم التصحيح

كشف باحثون في مجال الأمن السيبراني عن وجود تصحيح غير مكتمل لثغرة أمنية خطيرة سابقة في أداة NVIDIA Container Toolkit، ما يجعل الأنظمة عرضة لخطر هروب الحاويات (Container Escape) والوصول غير المصرح به إلى المضيف (Host).

الثغرة الأصلية، والمعرّفة بالرمز CVE-2024-0132، تحمل تقييم خطورة 9.0 على مقياس CVSS، وتُصنف على أنها ثغرة من نوع TOCTOU (Time-of-Check Time-of-Use)، حيث يمكن استغلالها للهروب من بيئة الحاوية وتنفيذ أوامر بصلاحيات الجذر (Root) على النظام المضيف.

رغم إعلان شركة NVIDIA أنها قامت بإصلاح الثغرة في سبتمبر 2024، إلا أن تحليلًا جديدًا أجرته شركة Trend Micro كشف أن التصحيح لم يكن كافيًا، وأن هناك ثغرة أداء إضافية تؤثر على Docker في أنظمة Linux، وقد تؤدي إلى هجوم حجب الخدمة (DoS).

تفاصيل الثغرة الأمنية الجديدة: CVE-2025-23359

أكدت Trend Micro أن الثغرة الجديدة، التي حُددت بالرمز CVE-2025-23359 وتقييمها أيضًا 9.0 على CVSS، تسمح للمهاجمين بـ:

الهروب من العزل بين الحاويات
الوصول إلى ملفات النظام المضيف
تنفيذ تعليمات برمجية عشوائية بصلاحيات مرتفعة

ويكمن الخلل في وظيفة mount filesضمن الأداة، حيث لا يتم تطبيق آليات القفل المناسبة عند تنفيذ العمليات على الكائنات، مما يتيح للمهاجمين تصعيد الامتيازات وتنفيذ أوامر داخل نظام المضيف.

ملاحظة هامة:
هذا النوع من الهجوم يتطلب أولًا من المهاجم أن يكون لديه صلاحية تنفيذ التعليمات داخل الحاوية (Container Execution Access).

خلل الأداء: نمو غير مسيطر عليه في جدول التركيب (Mount Table)

أثناء تحليل الثغرة الأساسية CVE-2024-0132، اكتشف الباحثون أيضًا مشكلة أداء تؤثر على Docker في Linux، حيث يؤدي تكوين الحاويات باستخدام خاصية
bind-propagation=shared إلى:

إنشاء مسارات متعددة بين الحاوية والمضيف
عدم حذف هذه المسارات بعد إنهاء الحاوية
تضخم جدول التركيب في النظام بشكل سريع
استهلاك جميع واصفات الملفات (File Descriptors)
تعطل Docker وعدم القدرة على إنشاء حاويات جديدة
فشل الاتصال بالمضيف، مثلًا عبر SSH

التوصيات لتقليل المخاطر وتأمين بيئة Docker

لتقليل فرص الاستغلال ومنع حدوث DoS أو هروب الحاويات، توصي Trend Micro باتباع الإرشادات التالية:

✅ مراقبة جدول التركيب في Linux للكشف المبكر عن النمو غير الطبيعي
✅ تقييد الوصول إلى Docker API ليقتصر على المسؤولين المعتمدين
✅ فرض سياسات صارمة للتحكم في الوصول (Access Control)
✅ إجراء مراجعات دورية على الارتباطات بين الحاويات والمضيف، بما في ذلك: