Adobe và Nvidia vá hàng loạt lỗ hổng nghiêm trọng trong sản phẩm AI và phần mềm sáng tạo

Hôm thứ Ba vừa qua, Adobe và Nvidia đã đồng loạt phát hành các bản vá bảo mật cho hàng chục lỗ hổng ảnh hưởng đến sản phẩm của họ, trong đó có nhiều lỗi được xếp ở mức độ nghiêm trọng (critical). Các bản vá này bao phủ từ nền tảng AI doanh nghiệp, GPU cho đến bộ phần mềm sáng tạo nổi tiếng của Adobe.

Minh họa quá trình vá lỗ hổng phần mềm

Nvidia: Tập trung vá lỗ hổng trong hệ sinh thái AI

Nvidia đã công bố 4 bản tin bảo mật mới vào thứ Ba. Đáng chú ý nhất là cảnh báo về 18 lỗ hổng bảo mật trong NemoClaw và OpenShell — hai sản phẩm cơ sở hạ tầng an ninh và runtime AI dành cho doanh nghiệp, được thiết kế để bọc quanh các tác nhân AI tự động.

Trong số này, có hai lỗ hổng được xếp ở mức nghiêm trọng có thể bị khai thác để:

• Thực thi mã từ xa
• Leo thang đặc quyền
• Giả mạo dữ liệu
• Tiết lộ thông tin
• Gây ra tấn công từ chối dịch vụ (DoS)

Ngoài ra, một tá lỗ hổng khác có mức độ nghiêm trọng cao với tác động tương tự. Công ty bảo mật Cyera đã công bố thông tin chi tiết về một trong những lỗ hổng này, cho thấy cách nó có thể bị khai thác để chiếm quyền điều khiển các tác nhân AI.

Một bản tin khác của Nvidia giải quyết 5 lỗ hổng trong siêu máy tính DGX Spark AI, bao gồm ba lỗi nghiêm trọng có thể bị khai thác để thực thi mã, leo thang đặc quyền, giả mạo dữ liệu và gây DoS.

Trên nền tảng Unified Fabric Manager, gã khổng lồ công nghệ đã vá hai lỗ hổng nghiêm trọng và ba lỗi mức trung bình — nếu bị khai thác có thể dẫn đến thực thi mã và leo thang đặc quyền.

Bản tin thứ tư đề cập đến các cuộc tấn công Rohammer nhắm vào GPU Nvidia, trong đó nhà sản xuất cung cấp thêm các biện pháp giảm thiểu cho người dùng.

Ngoài các bản tin trong tuần này, Nvidia tuần trước cũng đã thông báo về 5 lỗ hổng trong Triton Inference Server, bao gồm các lỗi cho phép thực thi mã tùy ý. Cùng ngày, họ cũng thông báo về các lỗ hổng leo thang đặc quyền và thực thi mã đã được vá trong Cumulus Linux và NVOS.

Adobe: Bảy bản tin bảo mật trong một ngày

Adobe hiện đang phát hành các bản tin bảo mật hai lần mỗi tháng. Trong đợt này, họ đã công bố 7 bản tin mới giải quyết hàng chục lỗ hổng trên nhiều sản phẩm khác nhau.

Các lỗ hổng thực thi mã nghiêm trọng đã được vá trong các sản phẩm phổ biến của hãng:

• Substance 3D Designer
• Substance 3D Sampler
• Substance 3D Painter
• Adobe XD
• Campaign Classic

Bên cạnh đó, các lỗ hổng gây ra DoS và phơi bày thông tin cũng đã được khắc phục trong Illustrator và Content Credentials SDK.

Một điểm đáng mừng là Adobe xác nhận chưa có lỗ hổng nào trong đợt này bị khai thác trong tự nhiên. Chỉ có bản tin liên quan đến Campaign Classic được xếp ở mức ưu tiên 1, cho thấy nguy cơ bị khai thác cao hơn so với các sản phẩm còn lại.

Ảnh tác giả Eduard Kovacs

Khuyến nghị cho người dùng tại Việt Nam

Đối với các doanh nghiệp và cá nhân tại Việt Nam đang sử dụng sản phẩm của Adobe hoặc hạ tầng AI của Nvidia, các chuyên gia khuyến nghị:

• Cập nhật ngay lập tức lên phiên bản mới nhất cho tất cả sản phẩm bị ảnh hưởng
• Ưu tiên xử lý bản vá cho Campaign Classic do mức độ rủi ro cao
• Kiểm tra, rà soát cấu hình các hệ thống NemoClaw và OpenShell nếu đang vận hành agent AI
• Theo dõi các khuyến nghị bổ sung từ Nvidia về cuộc tấn công Rohammer nếu sử dụng GPU trong môi trường sản xuất

Việc vá lỗ hổng kịp thời là yếu tố then chốt để bảo vệ hệ thống trước các cuộc tấn công mạng ngày càng tinh vi, đặc biệt khi các sản phẩm AI đang trở thành mục tiêu hấp dẫn mới của tội phạm mạng.