脆弱性の修正: NVIDIA GPUドライバーのCVE-2021-1056 - Container Service for Kubernetes

NVIDIAは、デバイス分離およびNVIDIA GPUドライバーに関連するCVE-2021-1056の脆弱性を報告しました。 Container Service for Kubernetes (ACK) クラスターにデプロイされているElastic GPU Service (EGS) インスタンスもこの脆弱性にさらされる可能性があります。このトピックでは、この脆弱性の背景情報、影響、および修正について説明します。

背景情報

CVE-2021-1056の脆弱性は、デバイスの分離とNVIDIA GPUドライバーに関連しています。この脆弱性により、攻撃者はノード上のすべてのGPUデバイスにアクセスすることができます。これは、このノード上で実行される非特権コンテナーに文字デバイスファイルを作成することによるものです。

この脆弱性の詳細については、「CVE-2021-1056」をご参照ください。

影響を受けるバージョン

影響を受けるNVIDIA GPUドライバーのバージョンは、NVIDIA公式Webサイトで公開されている情報に基づいて、次の図に一覧表示されます。詳細については、「NVIDIA公式ウェブサイト」をご参照ください。 an19

カスタムNVIDIAドライバーを選択した場合、またはNVIDIAドライバーを更新した場合は、前の図に基づいて、インストールしたNVIDIAドライバーがこの脆弱性の影響を受けているかどうかを確認してください。
NVIDIAドライバーがデフォルトでACKクラスターにインストールされている場合、ACKクラスターがこの脆弱性の影響を受けているかどうかを確認する必要があります。この脆弱性の影響を受けるACKクラスターは次のとおりです。
- ACK 1.16.9-aliyun.1。デフォルトでは、バージョン418.87.01のNVIDIAドライバがインストールされます。
- ACK 1.18.8-aliyun.1。デフォルトでは、バージョン418.87.01のNVIDIAドライバがインストールされます。

説明

他のバージョンのACKクラスターでは、デフォルトでインストールされているNVIDIA GPUドライバーは影響を受けません。 Alibaba CloudのACKチームは、さらなるCVEコンテンツの更新についての情報を提供し、脆弱性の修正を支援します。

GPUアクセラレーションノードのNVIDIAドライバーのバージョンを確認する

GPU高速化ノードにログインし、次のコマンドを実行してNVIDIAドライバーのバージョンを照会します。

説明

GPU高速化ノードにログインする方法の詳細については、「VNCを使用してインスタンスに接続する」および「VNCを使用したインスタンスへの接続」をご参照ください。

nvidia-smi

期待される出力:

Fri Apr 16 10:58:19 2021
+-----------------------------------------------------------------------------+
| NVIDIA-SMI 418.87.01    Driver Version: 418.87.01    CUDA Version: 10.1     |
|-------------------------------+----------------------+----------------------+
| GPU  Name        Persistence-M| Bus-Id        Disp.A | Volatile Uncorr. ECC |
| Fan  Temp  Perf  Pwr:Usage/Cap|         Memory-Usage | GPU-Util  Compute M. |
|===============================+======================+======================|
|   0  Tesla V100-SXM2...  On   | 00000000:00:07.0 Off |                    0 |
| N/A   34C    P0    37W / 300W |      0MiB / 16130MiB |      0%      Default |
+-------------------------------+----------------------+----------------------+

+-----------------------------------------------------------------------------+
| Processes:                                                       GPU Memory |
|  GPU       PID   Type   Process name                             Usage      |
|=============================================================================|
|  No running processes found                                                 |
+-----------------------------------------------------------------------------+

出力は、NVIDIAドライバのバージョンが418.87.01であることを示します。

修正

重要

ノードのNVIDIAドライバーをアップグレードするときは、ノードを再起動する必要があります。これにより、ノードにデプロイされているサービスが中断されます。

上の図に基づいてNVIDIAドライバーをアップグレードします。

NVIDIAドライバーがR390ブランチに属している場合は、バージョン390.141にアップグレードします。
NVIDIAドライバーがR418ブランチに属している場合は、バージョン418.181.07にアップグレードします。
NVIDIAドライバーがR450ブランチに属している場合は、バージョン450.102.04にアップグレードします。
NVIDIAドライバーがR460ブランチに属している場合は、バージョン460.32.03にアップグレードします。

NVIDIAドライバーをアップグレードする方法の詳細については、「ノードプールを使用して既存のノードのNVIDIAドライバーを更新する」、「ノードのNVIDIAドライバーを手動で更新する」、「ラベルを追加してノードのNVIDIAドライバーバージョンを指定する」をご参照ください。