CVE-2026-47483
CVSS 8.2 HIGH: nVIDIA DCGM Exporter for all platforms contains a vulnerability in the /debug/pprof endpoints, where an attacker… EPSS 0.3% (25º percentile).
Vulnerabilità · 3 giorni fa
Lava ha trovato migliaia di istanze di NVIDIA DCGM Exporter raggiungibili da Internet; circa un quarto esponeva anche gli endpoint di profiling legati a CVE-2026-47483. Il punto non è solo la visibilità del monitoraggio: su server GPU condivisi, lo strumento pensato per osservare i carichi AI diventa anche una superficie di attacco per far cadere il servizio e disturbare i job che dipendono da esso.
La falla sta negli endpoint /debug/pprof/, che accettano richieste concorrenti senza autenticazione. Basta saturarli per mandare in esaurimento la memoria e bloccare l’exporter; nello stesso tempo, le metriche esposte possono rivelare telemetria utile a chi cerca di mappare l’infrastruttura.
Nvidia ha corretto il problema in DCGM Exporter 4.8.2. Per chi usa questi exporter su host con carichi GPU, la lezione resta che l’esposizione di rete da sola non descrive il rischio reale: contano anche versione e flag, perché un agente di monitoraggio può diventare un punto di caduta per visibilità e workload.
story_meaning:null
why_now
Migliaia di istanze esposte e fix già disponibile
CVSS 8.2 HIGH: nVIDIA DCGM Exporter for all platforms contains a vulnerability in the /debug/pprof endpoints, where an attacker… EPSS 0.3% (25º percentile).
1 fonte che coprono questa storia
Exposed Nvidia GPU monitors can reveal AI infrastructure secrets
Thousands of exposed DCGM Exporter instances leak GPU telemetry, and some also expose profiling endpoints that could let unauthenticated attackers crash the service.
Part of the PlainSec briefing for 2026-10-12