Недавний анализ Trend Micro подтвердил то, что многие в индустрии уже подозревали: уязвимости в контейнерах — это не просто баги, а системная проблема безопасности. История с CVE-2024-0132 и CVE-2025-23359 в NVIDIA Container Toolkit — пример того, как неполное исправление может создать ещё больше рисков, чем исходная уязвимость.

👀 Изначально была найдена критическая уязвимость TOCTOU (9.0 по CVSS), позволяющая сбежать из контейнера и получить root-доступ к хосту.

NVIDIA выпустила патч, но Trend Micro обнаружила, что фикс не закрыл проблему полностью и даже добавил новую DoS-уязвимость в Docker под Linux.
🔈 Теперь злоумышленник может не только скомпрометировать хост, но и положить систему, переполнив таблицу монтирования.

1. Контейнеры ≠ изоляция. Многие до сих пор считают, что контейнеры безопасны по умолчанию. Но эта история доказывает: любая ошибка в механизмах изоляции — это прямой путь к хосту.

2. Компании часто спешат выпустить патч, но не проводят глубокий аудит на побочные эффекты. Результат — цепочка уязвимостей.

3. Атака возможна даже после фикса. Если злоумышленник уже внутри контейнера (например, через скомпрометированный образ), он может использовать старые дыры из-за некачественного исправления.

Подробнее: https://extrim-security.ru/news-ib/tpost/7pugv4x811-nedorabotannoe-ispravlenie-uyazvimosti-v