[Bug]: Latest Nvidia GPU Operator v26.7.1 reports large numbers of critical and high CVEs in Trivy scan output
维护者通常 1 天内回复
@rahulait 已经在做这个了。
开始于 2026年10月1日。
评估
这个 Issue 还没有评估数据。
描述
Describe the bug
Running Trivy scanner on each of the component container images of GPU Operator v26.7.1 reports following CVEs:
| Severity | Count | Score range |
|---|---|---|
| Critical | 49 | [9.0-10] |
| High | 3776 | [7.0,9.0) |
| Medium | 8671 | [4.0,7.0) |
| Low | 265 | [1.0,4.0) |
Attached zip file nvidia-gpu-operator-cve-scan-results.zip
contains:
- Raw trivy json format reports
- CVS format summary grouped into per-severity directory (containing per container image csv data CVE ID, CVE score, package name, package version)
- A script to transform json raw data into CVS data
To Reproduce
- Enumerate all container images from GPU Operator helm chart
- Run trivy scanner to generate json format report per container image, e.g.
docker run --rm aquasec/trivy:0.74.0 image --format json "<container-image-path>" > "<container-image-name-version.json>"
- Run the json2csv.sh script to generate CVE report, summary.
Expected behavior
Our customers deploying Nvidia GPU Operator have a security policy prohibiting OSS packages with any Critical and High CVEs (i.e. CVE score >= 7.0), their policy requires
- either fixes to CVEs
- or per-CVE non-exploitability confirmation/explanation
- or per-CVE mitigation actions
Environment (please provide the following information):
- GPU Operator Version: v26.7.1
- OS: Ubuntu 24.04.4 LTS
- Kernel Version: 6.17.0-35-generic
- Container Runtime Version: containerd://2.2.5+vmware.1-fips
- Kubernetes Distro and Version: VMware Kubernetes Service - VMware Kubernetes Release v1.35.6+vmware.1
- 主要语言
- Go
- 星标
- 2.9k
- 派生
- 582
- 平均合并
- 2 天 1 小时
- 30 天内合并 PR
- 61
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
NVIDIA/gpu-operator 的其他 Issue
-
[Bug]: dcgm-exporter no longer gets hostNetwork when a host DCGM is set through dcgmExporter.env可能已有人在做 @blacksoxx 于 6 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 64/100
NVIDIA/gpu-operator#3091 ·
维护者通常 1 天内回复
-
feature lifecycle/frozen needs-triage
难度 2/5 1-3 小时 新手友好度 68/100
NVIDIA/gpu-operator#3074 · 2 条评论 ·
维护者通常 1 天内回复
-
[Bug]: GPUCluster common name label breaks DRA validator selector可能已有人在做 @ajavanma 于 32 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 88/100
NVIDIA/gpu-operator#2955 · 1 条评论 ·
维护者通常 1 天内回复
-
[Bug]: Precompiled node pools drop kernels that sanitize to the same name可能已有人在做 @SebTardif 于 5 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 20/100
NVIDIA/gpu-operator#3098 ·
维护者通常 1 天内回复
-
[Bug]: ClusterPolicy reconcile panics when a DaemonSet has no annotations可能已有人在做 @SebTardif 于 5 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 25/100
NVIDIA/gpu-operator#3096 · 3 条评论 ·
维护者通常 1 天内回复
查看 NVIDIA/gpu-operator 的全部 Issue
相似的 Issue
-
enhancement
难度 2/5 1-3 小时 新手友好度 61/100
维护者通常 1 天内回复
-
stage-fail
难度 1/5 1 小时以内 新手友好度 72/100
siyuan-note/bazaar#2405 ·
维护者通常 1 天内回复
-
bug priority: high workstream:cache
难度 2/5 1-3 小时 新手友好度 76/100
rossoctl/context-guru#707 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 73/100
prime-radiant-inc/evener#5028 ·
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 85/100
维护者通常 1 天内回复