Container Service for Kubernetes:脆弱性 CVE-2025-23359

前提条件

クラスターに cGPU がインストールされていない場合は、この手順をスキップします。クラスターに cGPU がインストールされている場合は、バージョンが 1.1.0 以降であることを確認してください。次のセクションでは、クラスターに cGPU がインストールされているかどうかを確認する方法と、cGPU を更新する方法について説明します。

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターを見つけ、その名前をクリックします。左側のナビゲーションウィンドウで、[アプリケーション] > [Helm] を選択します。

3. [Helm] ページで、コンポーネントのバージョンを確認します。

   • [ack-ai-installer] と [ack-cgpu] がクラスターにインストールされている場合は、チケットを送信 してください。

   • クラスタ内の [ack-ai-installer] のバージョンが 1.7.5 以前の場合は、[ack-ai-installer] を更新します。詳細については、「GPU 共有コンポーネントを更新する」をご参照ください。

   • クラスター内の [ack-cgpu] のバージョンが 1.7.5 以前の場合は、コンポーネント名の横にある [更新] をクリックし、指示に従ってコンポーネントを更新します。

4. コンポーネントを更新した後、クラスター内の既存の GPU アクセラレーション ノードを更新できます。詳細については、「ノードの cGPU バージョンを更新する」をご参照ください。

ステップ 1：ノードをドレインする

ステップ 2：ノードで修正スクリプトを実行する

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、変更するクラスターの名前をクリックします。左側のナビゲーションウィンドウで、[ノード] > [ノード] を選択します。

3. [ノード] ページで、管理するノードを選択し、下部にある [バッチ操作] をクリックします。表示されるダイアログボックスで、[シェルスクリプトの実行] を選択し、[OK] をクリックします。

4. [CloudOps Orchestration Service (OOS)] コンソールの [基本情報] タブで、次の表に示すようにパラメーターを構成し、[次のステップ：パラメーター設定] をクリックします。

   パラメーター	値
   テンプレートカテゴリ	パブリックテンプレート
   テンプレート	ACS-ECS-BulkyRunCommand
   実行モード	エラー時に中断

5. [パラメーター設定] タブで、[シェルスクリプトの実行] をクリックし、次の CVE 修正スクリプトを [CommandContent] セクションに貼り付けて、[次のステップ：OK] をクリックします。

   #!/bin/bash
   set -e
   # ノードが配置されているリージョンを設定します
   export REGION=$(curl 100.100.100.200/latest/meta-data/region-id 2>/dev/null)
   
   if [[ $REGION == "" ]];then
       echo "Error: failed to get region"  # エラー：リージョンの取得に失敗しました
       exit 1
   fi
   
   NV_TOOLKIT_VERSION=1.17.5
   
   PACKAGE=upgrade_nvidia-container-toolkit-${NV_TOOLKIT_VERSION}.tar.gz
   
   cd /tmp
   
   curl -o ${PACKAGE}  http://aliacs-k8s-${REGION}.oss-${REGION}-internal.aliyuncs.com/public/pkg/nvidia-container-runtime/${PACKAGE} 
   
   tar -xf ${PACKAGE} 
   
   cd pkg/nvidia-container-runtime/upgrade/common
   
   bash upgrade-nvidia-container-toolkit.sh

6. [OK] タブで、作成情報を確認し、[作成] をクリックします。

7. タスクが正常に実行された後、OOS コンソール の左側のナビゲーションウィンドウで、[自動タスク] > [タスク実行管理] を選択します。対応するタスク実行 ID を見つけてクリックします。次に、[実行ステップと結果] セクションの [出力] を確認します。

   • 次の出力が表示された場合、ノード環境には CVE の脆弱性がないため、デバイスに変更は加えられていません。無視して構いません。

     2025-03-22/xxxx  INFO  No need to upgrade current nvidia-container-toolkit(1.17.5)  # 現在の nvidia-container-toolkit(1.17.5) をアップグレードする必要はありません

   • 次の出力が表示された場合、ノードに NVIDIA Container Toolkit の脆弱性が存在し、修正されています。

     2025-03-22/xxxxx  INFO  succeed to upgrade nvidia container toolkit # nvidia container toolkit のアップグレードに成功しました

ステップ 3：ノードの隔離を解除する

kubectl uncordon <NODE_NAME>

（オプション）ステップ 4：GPU ノードを確認する

上記の手順を完了した後、次のトピックのサンプル YAML ファイルに基づいて GPU アクセラレーション ノードをデプロイし、ノードが想定どおりに動作することを確認することをお勧めします。

• 排他的 GPU：「デフォルトの GPU スケジューリングモードを使用する」をご参照ください。

• GPU 共有：「GPU 共有を使用して GPU を共有する例」をご参照ください。