[Bug]: Latest Nvidia GPU Operator v26.7.1 reports large numbers of critical and high CVEs in Trivy scan output
Los mantenedores suelen responder en 1 día
@rahulait ya está trabajando en esto.
Desde el 1/10/2026.
Evaluación
Este issue todavía no se ha evaluado.
Descripción
Describe the bug
Running Trivy scanner on each of the component container images of GPU Operator v26.7.1 reports following CVEs:
| Severity | Count | Score range |
|---|---|---|
| Critical | 49 | [9.0-10] |
| High | 3776 | [7.0,9.0) |
| Medium | 8671 | [4.0,7.0) |
| Low | 265 | [1.0,4.0) |
Attached zip file nvidia-gpu-operator-cve-scan-results.zip
contains:
- Raw trivy json format reports
- CVS format summary grouped into per-severity directory (containing per container image csv data CVE ID, CVE score, package name, package version)
- A script to transform json raw data into CVS data
To Reproduce
- Enumerate all container images from GPU Operator helm chart
- Run trivy scanner to generate json format report per container image, e.g.
docker run --rm aquasec/trivy:0.74.0 image --format json "<container-image-path>" > "<container-image-name-version.json>"
- Run the json2csv.sh script to generate CVE report, summary.
Expected behavior
Our customers deploying Nvidia GPU Operator have a security policy prohibiting OSS packages with any Critical and High CVEs (i.e. CVE score >= 7.0), their policy requires
- either fixes to CVEs
- or per-CVE non-exploitability confirmation/explanation
- or per-CVE mitigation actions
Environment (please provide the following information):
- GPU Operator Version: v26.7.1
- OS: Ubuntu 24.04.4 LTS
- Kernel Version: 6.17.0-35-generic
- Container Runtime Version: containerd://2.2.5+vmware.1-fips
- Kubernetes Distro and Version: VMware Kubernetes Service - VMware Kubernetes Release v1.35.6+vmware.1
- Lenguaje dominante
- Go
- Estrellas
- 2.9k
- Forks
- 576
- Merge medio
- 1 d 9 h
- PR fusionados (30 d)
- 78
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de NVIDIA/gpu-operator
-
feature lifecycle/frozen needs-triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
NVIDIA/gpu-operator#3074 ·
Los mantenedores suelen responder en 1 día
-
[Bug]: nvidia-validator waits the full timeout on a failed validation pod; loadPodSpec panicsAbiertobug needs-triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
NVIDIA/gpu-operator#3065 ·
Los mantenedores suelen responder en 1 día
-
[Bug]: ClusterPolicy isDaemonSetReady can report Ready from a DaemonSet status of an older generationPosiblemente ocupada @efegokdemir la tomó hace 5 días. Abiertobug needs-triage
Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100
NVIDIA/gpu-operator#3060 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
[Bug]: GPUCluster common name label breaks DRA validator selectorPosiblemente ocupada @ajavanma la tomó hace 26 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 88/100
NVIDIA/gpu-operator#2955 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
[Bug]: driver-validation hides why a pre-installed driver failed and loops without a reasonPosiblemente ocupada @fjvbn2003 la tomó hace 3 días. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 25/100
NVIDIA/gpu-operator#3085 ·
Los mantenedores suelen responder en 1 día
Todos los issues de NVIDIA/gpu-operator
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
scaleway/scaleway-cli#6492 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 67/100
taskcluster/taskcluster#9284 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
Review backlog (docs-currency): operator-reference.md dependency-bot sweep paragraph does not mention the transient-triage wordingPosiblemente ocupada @hivecommons-hive la tomó hoy. Abiertoagent/reviewer approved-direction help wanted hive/claimed-by-scanner
Dificultad 1/5 Menos de una hora Aptitud para principiantes 82/100
hivecommons/hive#13025 · 7 comentarios ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 66/100
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
fluxcd/go-git-providers#329 ·