NVIDIA AIに重大脆弱性「NVIDIAScape」発見、CVE-2025-23266

2025年07月18日

NVIDIAのContainer Toolkitに重大脆弱性が発見され、3行のDockerfileでroot権限取得が可能
CVSSスコア9.0の脆弱性により、クラウドAIサービスでコンテナエスケープが発生
バージョン1.17.8で修正済み、即座のアップデートが必要

SEOの常識を覆す
AIライティングエージェント

プロフェッショナルの業務フローを完全再現するAIの活用で、飛躍的な品質向上とコストダウンの両立。「magicss」でAI時代のSEO＆AIOを実現してみませんか？

今なら 1記事無料で生成可能（カード登録不要）

最短3分で無料体験する

「NVIDIAScape」脆弱性の技術的詳細と影響範囲

セキュリティ研究企業Wizが発見した「NVIDIAScape」と呼ばれる脆弱性（CVE-2025-23266）は、NVIDIAのContainer Toolkitに存在する重大なセキュリティホールです[1]。この脆弱性はCVSSスコア9.0という最高レベルの危険度を持ち、攻撃者がわずか3行のDockerfileを使用してコンテナから脱出し、ホストマシンのroot権限を取得することを可能にします。攻撃手法はLD_PRELOADメカニズムを悪用し、悪意のあるライブラリを特権プロセスに読み込ませる仕組みとなっています。

この脆弱性の影響範囲は広範囲に及び、主要なクラウドプロバイダーが提供するマネージドAIサービス全般に影響を与えます[1]。特に共有GPU環境やAIインフラストラクチャにおいて、データ盗取やモデル操作といった深刻な被害が想定されます。Container Toolkitのバージョン1.17.7以下が影響を受け、GPU Operatorについてもバージョン25.3.0以下で類似の問題が確認されています[2]。

この脆弱性の発見は、AI時代におけるセキュリティの新たな課題を浮き彫りにしています。従来のWebアプリケーションセキュリティとは異なり、AIインフラでは高価なGPUリソースを効率的に共有するため、複数のテナントが同一のハードウェア上でコンテナを実行することが一般的です。これは銀行の貸金庫のように、物理的には同じ建物内にありながら論理的に分離されているはずの環境が、実際には薄い壁一枚で隔てられているような状況と言えるでしょう。今回の脆弱性は、その「薄い壁」を突破する手法を提供してしまったのです。

攻撃手法とProof of Conceptの詳細分析

Wiz Researchが公開したProof of Conceptは、その単純さゆえに衝撃的です[1]。攻撃者は3行のDockerfileを作成するだけで、初期化フック機能を悪用してコンテナエスケープを実現できます。具体的には、CUDA互換性フックの処理過程でLD_PRELOADを利用し、悪意のある共有ライブラリを特権プロセスに注入する手法が使用されています。この攻撃は認証を必要とせず、コンテナ内からの実行が可能という点で特に危険です。

さらに、CVE-2025-23267として分類された第二の脆弱性も同時に発見されました[2]。こちらはCVSSスコア8.5を持つDoS攻撃の脆弱性で、悪意のあるシンボリックリンクを通じてサービス拒否攻撃を実行できます。両方の脆弱性は2025年5月にNVIDIAに報告され、7月に公開されるまでの間に修正作業が進められました。攻撃の実行には特別な権限や複雑な設定は不要で、標準的なコンテナ環境で動作するという点が脅威を増大させています。

この攻撃手法の巧妙さは、正当な機能を悪用している点にあります。LD_PRELOADは本来、開発者がライブラリの動作をテストやデバッグのために一時的に変更するための仕組みです。これは料理のレシピで言えば、「塩の代わりに砂糖を使ってみる」ような実験的な置き換えを可能にする機能です。しかし攻撃者はこの機能を悪用し、「塩の代わりに毒を入れる」ような危険な操作を行っているのです。正当な機能の悪用による攻撃は検出が困難で、従来のセキュリティ対策では防ぎにくいという特徴があります。

クラウドAIサービスへの広範囲な影響

この脆弱性の最も深刻な側面は、現代のクラウドAIサービスの基盤となっているマルチテナント環境への影響です[3]。Amazon Web Services、Microsoft Azure、Google Cloud Platformなどの主要クラウドプロバイダーが提供するマネージドAIサービスの多くが、NVIDIAのContainer Toolkitを使用してGPUリソースを管理しています。攻撃者がこの脆弱性を悪用すれば、他の顧客のAIモデルやデータにアクセスし、知的財産の窃取や競合他社への情報漏洩といった重大な被害を引き起こす可能性があります。

特にHPC（High Performance Computing）環境や機械学習プラットフォームでは、複数の組織が同一のGPUクラスターを共有することが一般的です[4]。この環境では、一つのコンテナが侵害されると、同じホスト上で動作する他のすべてのコンテナやホストシステム全体が危険にさらされます。研究機関や企業が開発中のAIモデル、学習データ、アルゴリズムなどの機密情報が攻撃者の手に渡る可能性があり、競争優位性の喪失や規制違反といった深刻な結果を招く恐れがあります。

クラウドAIサービスの普及により、多くの企業が自社のAI開発をクラウド環境に依存するようになりました。これは電力会社から電気を購入するように、AI処理能力を「サービス」として利用する時代の到来を意味します。しかし、今回の脆弱性は、その「電力網」に重大な欠陥があることを示しています。マンションの一室で火事が起きたら隣の部屋にも延焼するように、クラウド環境では一つの脆弱性が多数の顧客に影響を与える可能性があります。企業は便利さと引き換えに、新たなリスクを受け入れていることを認識し、適切なリスク管理戦略を構築する必要があります。

対策と今後のセキュリティ強化への提言

NVIDIAは迅速に対応し、Container Toolkitのバージョン1.17.8およびGPU Operatorのバージョン25.3.1で修正を提供しました[2]。組織は即座にこれらの最新バージョンへのアップデートを実施する必要があります。また、一時的な緩和策として、CUDA互換性フックの無効化も推奨されています。クラウドプロバイダーも自社のマネージドサービスでパッチ適用を進めており、ユーザーは各プロバイダーからの更新情報を注意深く監視する必要があります。

長期的な対策として、コンテナセキュリティの根本的な見直しが求められます[5]。特権コンテナの使用制限、ランタイムセキュリティ監視の強化、ゼロトラスト原則の適用などが重要な要素となります。また、AIワークロード特有のセキュリティ要件を考慮した新しいセキュリティフレームワークの開発も急務です。組織は定期的なセキュリティ監査、脆弱性スキャン、インシデント対応計画の策定を通じて、類似の脅威に対する準備を整える必要があります。

今回の事件は、AI時代のセキュリティが従来のIT セキュリティとは質的に異なる課題を抱えていることを明確に示しています。AIインフラは「デジタル工場」のような存在で、そこでは貴重な知的財産が日々生産されています。従来のセキュリティ対策は「オフィスビル」を守ることを前提としていましたが、「工場」では生産ラインの停止や製品の品質に直接影響する新たなリスクが存在します。企業は単なるパッチ適用を超えて、AI時代に適応した包括的なセキュリティ戦略を構築し、継続的な監視と改善のサイクルを確立することが不可欠です。