Vulnerabilidade Crítica no NVIDIA BlueField Permite Ataques em Máquinas Virtuais

A vulnerabilidade CVE-2026-65094, classificada com CVSS 9.0, expõe uma falha crítica do tipo 'Write-What-Where' (CWE-123) no componente VIRTIO-Net das DPUs BlueField-3 da NVIDIA. Essa condição permite que um atacante, a partir de uma máquina virtual adjacente, manipule locais de memória e execute código arbitrário. A complexidade do ataque é baixa e não requer interação do usuário, tornando-o uma ameaça severa em ambientes de nuvem multi-tenant.

DPUs como a BlueField são projetadas para offloading de rede e, crucialmente, para reforçar as fronteiras de segurança entre sistemas hospedeiros e suas cargas de trabalho. A exploração bem-sucedida dessa falha subverte diretamente a promessa de isolamento, permitindo que um usuário malicioso de VM rompa o ambiente virtual e potencialmente acesse ou afete outros locatários no mesmo hardware. O CEVIU já abordou falhas semelhantes de escape de VM, como a vulnerabilidade Januscape no KVM do Linux, descoberta em julho de 2026, o que reforça a natureza persistente e perigosa desses vetores de ataque em infraestruturas virtualizadas.

A NVIDIA BlueField DPU é uma peça central na arquitetura de data centers modernos e provedores de nuvem, atuando como um elemento-chave para isolamento e segurança. Uma falha de escape de máquina virtual com CVSS 9.0 como esta representa um risco fundamental para a integridade desses ambientes. Ela pode levar à perda de dados, interrupção de serviços e comprometimento de múltiplos clientes ou aplicações que compartilham a mesma infraestrutura subjacente.

A necessidade de aplicar patches rapidamente é urgente, especialmente para garantir que os limites de segurança prometidos pelas DPUs sejam mantidos. Embora não haja relatos de exploração ativa, a facilidade de execução e o alto impacto tornam esta vulnerabilidade um alvo atraente. A atenção aos padrões incomuns de tráfego VIRTIO-Net e a revisão dos controles de isolamento de VM são passos essenciais para as equipes de segurança.