漏洞预警:NVIDIA DCGM Exporter (CVE-2026-47483) 导致资源消耗Dos和信息泄露漏洞，CVSS:8.2

小白哥
小白哥

小白安全成长记

2026年10月9日 14:05
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一直关注和AI相关的安全问题，这次是来自一个安全公司LAVA的关于NVIDIA 的 DCGM Exporter 的安全研究报告，安全无小事。

NVIDIA DCGM Exporter是一款广泛用于监控 AI 服务器和集群中 GPU 的工具。

我们发现NVIDIA DCGM Exporter中存在一个高危漏洞，未经身份验证的攻击者可以利用该漏洞触发 GPU 服务器上不受控制的资源消耗，从而导致拒绝服务和信息泄露。攻击者通过耗尽 Exporter 的资源，可以使监控服务崩溃，使运维人员无法了解GPU 的健康状况和活动 \\，并可能降低运行在同一主机上的工作负载的性能。

此次事件的严重性在于其规模之大。我们的调查发现，超过 2000 台 GPU服务器未经身份验证就将 NVIDIA DCGM Exporter 直接暴露在公共互联网上。在四次扫描中，这些系统报告了超过 12000 个独立的 GPU ，\\硬件价值\\估计达1 亿美元。

暴露的系统包括用于大规模人工智能工作负载的NVIDIA Blackwell Ultra B300 GPU、H200和H100，以及消费级RTX 5090和4090系统。任何能够访问这些终端的人都可以查看企业正在运行的硬件、其使用强度以及围绕这些硬件构建的人工智能基础设施的详细信息。

我们已将该问题报告给 NVIDIA，NVIDIA 将其分配了CVE-2026-47483（CVSS 8.2，高危），并发布了安全公告来解决该漏洞。

起因是 GPU 监控服务中的一个漏洞，这让我们得以罕见地了解 GPU 基础设施在互联网上的部署、暴露和使用情况。

背景

今年早些时候，我们在我们自己的一个 GPU 集群上启用了 NVIDIA 的 DCGM Exporter。

DCGM Exporter 直接从主机上的 GPU 读取遥测数据，包括：温度、利用率、内存使用情况、功耗、错误事件等等。然后，它通过 HTTP 协议公开这些指标，通常位于 :9400/metrics，以便 Prometheus 等系统可以抓取这些数据。

单个响应可以包含数百行指标，每个 GPU 都由其唯一的 ID 或 UUID 标识。

公开的 DCGM Exporter 指标揭示了 GPU 活动、硬件详细信息和驱动程序版本。

仅从这些指标来看，外部观察者就能了解很多关于底层GPU系统的信息：

• 运行的是什么硬件？ modelName 显示的是确切的 GPU 型号，例如NVIDIA H100 80GB。
• 它是如何被使用的？ GPU\_UTIL、FB\_USED、张量活动和DRAM\_ACTIVE 可以揭示其处于空闲、计算密集型或内存密集型状态。这些模式可以暗示训练或推理过程，但并不能得出确切结论。
• 什么时候最忙？反复读取数据可以揭示持续活跃期、短暂活跃期和安静期，帮助外界人士推断工作安排和使用模式。
• 系统性能如何？功耗、NVLink流量、温度和XID错误揭示了工作负载强度、GPU之间的通信以及硬件或驱动程序问题等方面的模式。

总的来说，暴露的 DCGM Exporter 可以提供 GPU 服务器令人惊讶的详细概况：它包含哪些硬件、它的使用强度如何、它的 GPU 如何通信以及它是否遇到错误。

当我们意识到这些终点揭示了多少信息后，下一个问题就是：

他们当中有多少人接触过互联网？

正在互联网上搜索 NVIDIA DCGM 导出器

我们首先进行了一个简单的 Shodan 查询：

在2026年3月至5月期间的四次扫描中，我们观察到大约2100台主机公开提供DCGM Exporter指标，并暴露了超过12000个唯一的GPU UUID。每台主机都通过明文HTTP返回指标，且均无需身份验证。

这种暴露为外部人员提供了可用于侦察的信息：

1. 对目标进行分析。硬件和软件详情有助于攻击者了解终端背后的环境，并缩小搜索范围，找到相关的已知漏洞。
2. 了解工作负载活动。重复观察可以揭示繁忙时段、重复出现的使用模式以及计算使用方式的变化。即使在计算空闲期间，内存分配情况也仍然可见，从而提供有关驻留工作负载的线索。
3. 跟踪基础设施随时间的变化。GPU UUID 使得即使设备的端点或主机名发生变化，也能在不同观测中识别出单个设备。观察者可以连接不同的快照，并跟踪同一硬件出现的位置及其使用方式的变化。
4. 识别工作负载和项目。如果存在 Kubernetes 工作负载标签，则 Pod、命名空间和容器名称可以揭示应用程序或项目名称，并将其与特定的 GPU 关联起来。描述性名称甚至可以暗示正在运行的模型或服务。

但在研究同一服务时，我们发现同一个出口商可能会反过来对付自己，被远程驱动而耗尽资源。

NVIDIA DCGM Exporter 中的漏洞

在我们的扫描中，大约四分之一暴露的 DCGM 主机除了 /metrics 之外，还提供了 Go 的 /debug/pprof/ 分析端点。

pprof 是 Go 语言内置的性能分析接口，通常用于内部调试 CPU 和内存使用情况。某些性能分析端点会将请求保持活动状态一段时间（由调用者指定），而大量并发的未经身份验证的请求会导致内存消耗不断增加。

起初，我们以为暴露的性能分析端点是运营商配置错误导致的。随后，我们使用NVIDIA 官方的 DCGM Exporter 容器（未做任何修改）重现了同样的问题。部署过程中，如果将 exporter 暴露在可路由接口上，也可能会暴露 /debug/pprof/ 接口。

如果并发的未经认证请求过多，导出器可能会耗尽内存并崩溃，从而导致无法查看 GPU 的健康状况和活动。CPU 和内存压力也可能降低主机速度，并干扰同时运行的训练或推理工作负载，尤其是在没有严格资源限制的情况下。我们观察到的数百个公共 DCGM 导出器都暴露了这种攻击面。我们是在受控环境中测试资源耗尽的，而不是针对这些公共部署环境。

数千块裸露的GPU揭示了人工智能热潮的哪些真相

被曝光的出口商向我们提供了一份用于人工智能热潮的GPU粗略清单，清单直接来自机器本身。其中一半是数据中心加速器，例如NVIDIA H100和H200等型号。另一半是消费级和工作站显卡，主要是GeForce RTX 4090和5090，这意味着公共互联网上很大一部分所谓的“人工智能基础设施”实际上是被挪作他用的游戏硬件。

令我们惊讶的是，我们还发现当前一代的 Blackwell 硬件完全开放，包括312 个 NVIDIA B200 和 32 个 B300，它们的遥测数据无需身份验证即可访问。

此次安全漏洞涉及多种类型的组织。在我们进行的四次扫描中，我们发现了与近 300 家组织相关的 2000 多台主机上存在暴露的 GPU 导出器。按运营商类别分组，暴露的 GPU 分布情况如下：

• 消费级GPU和矿场：占比35%。这是最大的类别，其中GeForce显卡占据主导地位。
• 新云：25%。提供GPU容量租赁服务的供应商。
• 通用主机托管和机柜托管：19%。为客户GPU部署提供服务的传统主机托管和机柜托管网络。
• 电信运营商和国家互联网服务提供商：10%。运营商和互联网服务提供商网络。
• 超大规模云服务商：6%。大型公共云。
• 大学和研究机构：5%。学术和高性能计算环境。

地理分布集中在少数几个国家。美国的终端节点数量最多，达到 5274 个 GPU（占 44%），其次是罗马尼亚（2054 个，占 17%）和中国（1967 个，占 16%）。欧洲和亚洲其他地区也出现了规模较小的终端节点，包括韩国、新加坡、冰岛、法国、芬兰和荷兰。

出乎我们意料的是，这些GPU大部分都处于闲置状态。在我们进行的四次扫描中，大约60%的GPU利用率都显示为0%。鉴于GPU需求远超供应，价格不断攀升，我们原本预期这些硬件会满负荷运转。

Neocloud 客户和暴露的监控

我们在与 Voltage Park、Northern Data、Lambda 和 DigitalOcean 相关的基础设施上发现了公共监控端点。我们记录到的最大一组与 Voltage Park 相关：672 个公共 node\_exporter 主机和71 个公共 DCGM Exporter 主机。

Voltage Park 确认，大部分 node\_exporter 实例和所有 DCGM Exporter 实例均由客户部署。尽管保障这些服务的安全是客户的责任，但 Voltage Park 的安全团队已对我们的报告进行了调查，并联系了受影响的客户。他们的应对措施体现了服务提供商如何在责任共担模式下帮助客户应对安全风险。

超越GPU：12096台主机揭示人工智能背后的基础设施

除了 GPU 遥测数据外，我们还考察了 Prometheus Node Exporter，这是一款用于监控服务器硬件和操作系统的工具。与 DCGM Exporter 类似，它通过 HTTP 协议向 Prometheus 公开指标，供其抓取，这些指标包括 CPU 使用率、内存使用率、磁盘活动和网络统计信息。

我们发现了 12,096 个公共节点导出器主机，它们报告了来自 NVIDIA/Mellanox InfiniBand 和 RoCE 适配器的 mlx5 指标，暴露了适配器型号、固件版本、链路状态和网络活动。许多主机还泄露了主机名、操作系统和内核版本以及 BIOS 详细信息。其中一个端点返回了：

这些信息足以识别一台运行 Ubuntu 22.04.5 LTS 的戴尔 PowerEdge XE9680 服务器，包括其 BIOS 和适配器固件，以及一个正在使用的 400 Gb/s 端口。精确的版本信息可以让攻击者直接利用已知的漏洞。在 Node Exporter 和 DCGM Exporter 重叠的区域，我们可以将 GPU 活动与服务器、软件栈及其周围的网络关联起来，而无需任何身份验证。

暴露节点导出器指标揭示了服务器硬件、操作系统和固件版本以及 InfiniBand 链路速度。

运营商和客户应该怎么做？

除非有特殊需要并采取适当的访问控制措施，否则不应允许从公共互联网直接访问Node Exporter、DCGM Exporter 和 Prometheus 。

尽可能将导出器绑定到环回接口或私有接口，并使用防火墙规则、安全组或其他网络控制措施来限制访问，确保只有监控基础设施才能访问它们。Prometheus 查询 API 和目标页面也应采用相同的方式进行保护。

对于 DCGM Exporter，请升级到4.8.2 或更高版本，并确保除非明确需要进行性能分析，否则不要启用 --enable-pprof 参数。在当前版本中，性能分析端点是可选的，而不是默认公开的。

结论

研究结果凸显了人工智能基础设施日益严重的安全漏洞：企业斥资数百万美元购置GPU，却将关键系统置于危险之中。这些安全漏洞可能暴露人工智能环境的构建方式，在某些情况下，甚至可能导致攻击者破坏这些环境。

我们的研究表明，公开的监控服务能够揭示的信息远不止基本的遥测数据。在数千个系统中，我们可以看到哪些GPU正在运行、它们的使用情况，以及它们周围服务器和网络的详细信息。

以 NVIDIA DCGM Exporter 为例，这种暴露不仅限于可见性，还允许攻击者耗尽资源、导致 GPU 监控崩溃，并可能影响在同一主机上运行的工作负载。

随着人工智能基础设施规模的扩大，各组织需要保护堆栈的每一层，并确切地知道他们自己负责什么，以及他们的提供商负责什么。