Luka 8,2 w narzędziu monitorującym serwery GPU pozwala bez logowania wyłączyć usługę

Luka o ocenie 8,2 w skali CVSS w narzędziu do monitorowania serwerów GPU pozwala atakującemu bez logowania wyłączyć usługę monitorującą. Może też zakłócić pracujące na serwerze obciążenia AI. Poprawki na razie nie ma. Narzędzie odczytuje z kart graficznych temperaturę, obciążenie, zużycie pamięci i energii oraz zgłaszane błędy, a potem publikuje te dane przez HTTP. Wśród nich są model karty i jej unikalny identyfikator. Z takich danych da się ustalić, jaki sprzęt pracuje na serwerze, jak bardzo jest obciążony i czy zgłasza błędy.

Kogo dotyczy

Badacze przeprowadzili cztery skany między marcem a majem 2026. Znaleźli ponad 2000 serwerów, które udostępniały to narzędzie w internecie, a w nich ponad 12 tys. kart GPU o szacowanej wartości 100 mln dolarów. Serwery należały do blisko 300 organizacji, a część z nich działała w chmurach dostawców GPU. Każdy odpowiadał przez nieszyfrowane HTTP i żaden nie wymagał uwierzytelnienia. Najwięcej kart było w USA (5274), Rumunii (2054) i Chinach (1967).