平台
nvidia
组件
nvidia-jetson-for-jetpack
修复版本
35.6.5
36.5.1
CVE-2026-24148是NVIDIA Jetson for JetPack中的一个漏洞，存在于系统初始化逻辑中。未授权的攻击者可能利用此漏洞，通过不安全默认值初始化资源。成功利用此漏洞可能导致加密数据的信息泄露、数据篡改，以及在共享相同机器ID的设备上造成部分拒绝服务（DoS）。受影响的版本包括所有低于36.5的版本。此漏洞已在版本35.6.4中修复。
CVE-2026-24148 影响 Jetson Xavier 系列和 Jetson Orin 系列设备，CVSS 评分达到 8.3。该漏洞存在于系统初始化逻辑中，允许未授权的攻击者触发使用不安全默认值初始化资源。成功利用可能导致加密数据的机密信息泄露、数据篡改以及在共享相同机器 ID 的设备上发生部分拒绝服务。此漏洞需要立即采取行动以保护 Jetson 系统。
具有 Jetson Xavier 或 Orin 系统未授权访问权限的攻击者可以利用此漏洞。攻击者可以操纵资源的初始化配置，从而可能导致敏感信息（例如加密密钥或加密数据）泄露。如果攻击者中断了关键资源的初始化过程，则可能发生部分拒绝服务。在共享相同机器 ID 的多设备环境中，风险会增加，因为该漏洞可能会同时影响多个设备。
Organizations deploying NVIDIA Jetson devices in environments requiring data confidentiality and integrity are at significant risk. This includes robotics applications, edge computing deployments, and any scenario where sensitive data is processed or stored on Jetson devices. Shared hosting environments utilizing Jetson devices are particularly vulnerable due to the potential for cross-tenant exploitation.
• linux / server:
journalctl -u jetpack-system-initialization | grep -i 'insecure default'• linux / server:
ps aux | grep -i 'jetpack-system-initialization'• linux / server:
ls -l /opt/nvidia/jetpack/system_initialization.sh• linux / server:
cat /etc/machine-iddisclosure
漏洞利用状态
EPSS
0.04% (12% 百分位)
CISA SSVC
NVIDIA 建议升级到 JetPack 35.6.4 或更高版本以减轻此漏洞。此更新解决了有缺陷的初始化逻辑，并确保资源以安全方式初始化。尽早应用此更新至关重要，尤其是在加密数据安全至关重要的环境中。请参阅 JetPack 35.6.4 的发行说明，以获取详细的安装说明和其他注意事项。还建议主动监控 Jetson 系统是否存在潜在的利用。
Actualice NVIDIA Jetson for JetPack a la versión 35.6.4 o posterior, o a la versión 36.5 o posterior, según corresponda, para mitigar esta vulnerabilidad. La actualización corrige la lógica de inicialización del sistema, evitando que un atacante no privilegiado cause la inicialización de un recurso con un valor predeterminado inseguro.
漏洞分析和关键警报直接发送到您的邮箱。
机器 ID 是分配给每个 Jetson 设备的唯一标识符。在此上下文中，该漏洞会影响共享相同机器 ID 的设备。
该漏洞可能允许泄露受影响资源存储或处理的任何加密数据。这可能包括加密密钥、用户数据和其他敏感信息。
您可以通过在设备的命令行中运行 nvcc --version 命令来验证您的 JetPack 版本。
如果您无法立即更新，请考虑限制对系统资源的未经授权的访问并监控可疑活动。
KEV: no 表示 NVIDIA 未为该漏洞发布知识工程验证 (KEV)。这并不能降低漏洞的重要性，而是仅仅意味着没有特定的 KEV 可用。
CVSS 向量