Container Service for Kubernetes:脆弱性 CVE-2025-23266

前提条件

• Alibaba Cloud アカウントまたは RAM ユーザーに CloudOps Orchestration Service（OOS）の権限があることを確認します。詳細については、「AliyunOOSFullAccess」をご参照ください。

• クラスターに cGPU アドオンがインストールされているかどうかを確認します。

  • インストールされていない場合は、ステップ 1：ノードをドレインする に進みます。

  • インストールされている場合は、バージョンが 1.1.0 以降であることを確認します。

  cGPU がインストールされているかどうか、およびアップグレード方法を確認する方法

  1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

  2. [クラスター] ページで、目的のクラスターを見つけて名前をクリックします。左側のナビゲーションウィンドウで、[アプリケーション] > [Helm] を選択します。

  3. [Helm] ページで、アドオンのバージョンを確認します。

     • ack-cgpu が見つかりません：cGPU アドオンはインストールされていません。

     • ack-ai-installer と ack-cgpu の両方が存在します：チケットを送信 してサポートを受けてください。

     • ack-ai-installer が存在します：バージョンが 1.7.5 より前の場合は、アップグレード します。

     • ack-cgpu が存在します：バージョンが 1.5.1 より前の場合は、アドオンの右側にある [更新] をクリックし、画面の指示に従ってアップグレードします。

  4. アドオンのアップグレード後、クラスター内の既存の cGPU ノードを更新 します。

ステップ 1：ノードをドレインする

ステップ 2：ノードで修正スクリプトを実行する

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、変更するクラスターの名前をクリックします。左側のナビゲーションウィンドウで、[ノード] > [ノード] を選択します。

3. [ノード] ページで、ターゲットノードを選択し、ページの下部にある [バッチ操作] をクリックします。[バッチ操作] ダイアログボックスで、[シェルスクリプトを実行] を選択し、[OK] をクリックします。

4. [基本情報] ステップで、次の表に従ってパラメータを構成し、[次のステップ：パラメータ設定] をクリックします。

   パラメータ	値
   テンプレートカテゴリ	パブリックテンプレート
   テンプレート	ACS-ECS-BulkyRunCommand
   実行モード	失敗時に中断

5. [パラメータ設定] ステップで、[シェルスクリプトを実行] をクリックします。[CommandContent] フィールドに次の CVE 修正スクリプトを入力し、[次のステップ：OK] をクリックします。

   #!/bin/bash
   set -e
   # ノードが存在するリージョンを設定します。
   export REGION=$(curl 100.100.100.200/latest/meta-data/region-id 2>/dev/null)
   
   if [[ $REGION == "" ]];then
       echo "Error: failed to get region"  # エラー：リージョンの取得に失敗しました
       exit 1
   fi
   
   NV_TOOLKIT_VERSION=1.17.8
   
   PACKAGE=upgrade_nvidia-container-toolkit-${NV_TOOLKIT_VERSION}.tar.gz
   
   cd /tmp
   
   curl -o ${PACKAGE}  http://aliacs-k8s-${REGION}.oss-${REGION}-internal.aliyuncs.com/public/pkg/nvidia-container-runtime/${PACKAGE} 
   
   tar -xf ${PACKAGE} 
   
   cd pkg/nvidia-container-runtime/upgrade/common
   
   bash upgrade-nvidia-container-toolkit.sh

6. [OK] ステップで、情報を確認し、[作成] をクリックします。

7. タスクが実行された後、CloudOps Orchestration Service コンソール の左側のナビゲーションウィンドウで、[自動タスク] > [タスク実行管理] を選択します。実行されたタスクの ID を見つけてクリックし、[実行ステップと結果] セクションの [出力] を表示します。

   • スクリプトが次の出力を返す場合、ノードは CVE-2025-23266 の脆弱性の影響を受けません。変更は適用されておらず、それ以上の操作は必要ありません。

     2025-03-22/xxxx  INFO  No need to upgrade current nvidia-container-toolkit(1.17.8)  # 現在の nvidia-container-toolkit(1.17.8) をアップグレードする必要はありません
     

   • スクリプトが次の出力を返す場合、ノードは NVIDIA Container Toolkit の脆弱性の影響を受けており、修正されています。

     2025-03-22/xxxxx  INFO  succeed to upgrade nvidia container toolkit # nvidia container toolkit のアップグレードに成功しました
     

ステップ 3：ノードをスケジューリング可能に設定する

kubectl uncordon <NODE_NAME>

（オプション）ステップ 4：GPU アクセラレーションノードを確認する

上記の手順を完了した後、次のいずれかのトピックのサンプル YAML テンプレートを使用して GPU アプリケーションをデプロイし、ノードが想定どおりに動作することを確認します。

• 排他的 GPU：デフォルトの GPU スケジューリングモードを使用する

• 共有 GPU：GPU 共有を使用して GPU を共有する