The Controller That Runs Your AI Data Center Had Hard-Coded Credentials
TL;DR On September 22, 2026, NVIDIA disclosed CVE-2026-65113, a hard-coded-credentials flaw (CWE-798) in the NVIDIA Infrastructure Controller (NICo) for Linux, rated 9.8 out of 10 on the CVSS v3.1 scale and present in every version from 0 through 1.9. NICo is not an edge utility: it is the Kubernet
Veröffentlicht am 21. Oktober • Zuerst erschienen auf blog.neticslabs.com
Ein hart codiertes Credential in irgendeiner Webanwendung ist ein schlechter Tag. Ein hart codiertes Credential im Controller, der jeden Server, jede DPU und jedes Tenant-Netzwerk in einem KI-Rechenzentrum bereitstellt, ist eine Problemlage ganz anderer Klasse, und zwar wegen dessen, was der Controller zu tun erlaubt bekommt.
NICos eigene Dokumentation beschreibt die Software als Lieferantin von "Zero-Touch-Lifecycle-Automatisierung für Bare-Metal-Systeme, die die Rechenzentrumsinfrastruktur an ihrer Grundlage sichert." Die Architektur ist eine Kubernetes-basierte Control Plane mit REST-API, Site-Agents und Temporal-Workflows, die auf dem Bare-Metal-Cluster betrieben wird, den sie verwaltet. Sie übernimmt Hardware-Erkennung, Firmware-Validierung, DPU-Bereitstellung über das DOCA Platform Framework, OS-Deployment, Netzwerkisolation und Tenant-Sanitization. Sie ist die alleinige Autorität, die eine Bare-Metal-Maschine darauf vorbereitet, Teil einer Multi-Tenant-AI-Cloud zu werden.
Die offizielle NVIDIA-Produktsicherheitsseite (nvidia.com/en-us/product-security/, aufgenommen am 30.09.2026): Die Übersicht der Bulletins zeigt das September-2026-Advisory zum NVIDIA Infrastructure Controller (5879), eingestuft als Critical, mit CVE-2026-65113 an erster Stelle von vierzehn Schwachstellen.
Genau diese Zentralstellung macht CVE-2026-65113 so gefährlich. Die Schwachstelle erlaubt es einem nicht authentifizierten Angreifer aus der Ferne, die Authentifizierung über die statischen Credentials zu umgehen; das NVIDIA-Advisory beschreibt einen erfolgreichen Exploit als möglicherweise führend zur Eskalation von Privilegien, zur Datenmanipulation, zur Verweigerung des Dienstes und zur Offenlegung von Informationen. Auf NICo angewandt betrifft das nicht einen einzelnen Server, sondern die Ebene, von der aus ein Angreifer das Bare Metal jedes Tenants, jede DPU und die Netzwerkisolation erreicht, die der Controller eigentlich durchsetzen soll.
NVIDIAs eigene Sicherheitsempfehlungen im selben Disclosure-Zyklus fallen zu dieser Schwachstellenklasse unmissverständlich aus: Zugang zu administrativen Schnittstellen beschränken und Management-Plane-Dienste von nicht vertrauenswürdigen Netzen isolieren.
Die hart codierten Credentials sind die Schlagzeile, aber sie sind nicht die ganze Geschichte. CVE-2026-65128 ist eine SQL-Injection mit einem Rating von 8.8, die Angreifern mit geringen Privilegien den Weg zu Codeausführung eröffnet. CVE-2026-65114 ist eine fehlende Authentifizierung bei einer kritischen Funktion, bewertet mit 8.3.
CVE-2026-65121 ist eine unsachgemäße Authentifizierung, die Privilegieneskalation ermöglicht, mit 8.2 bewertet. CVE-2026-65130 ist eine OS-Command-Injection mit 8.0. Rechnet man unsachgemäße Zertifikatsvalidierung (7.5 und 6.7), externe Datei- und Pfadkontrolle, XML-Injection, Fehler bei der Workflow-Durchsetzung, ein weiteres hart codiertes Passwort, unkontrollierten Ressourcenverbrauch und nicht bereinigte Debug-Informationen hinzu, ergibt sich ein konsistentes Bild: eine Management Plane, die über ihre Release-Historie hinweg Schwächen bei Authentifizierung und Trust-Validierung angesammelt hat und die gemeinsam offengelegt wurde, weil sie nur gemeinsam geprüft worden waren.
Die offizielle NVIDIA Infra Controller Dokumentation (docs.nvidia.com/infra-controller, aufgenommen am 30.09.2026): "Was ist NICo?", der Zero-Touch-Controller für das Bare-Metal-Lifecycle-Management, dessen vierzehn CVEs im September-Bulletin adressiert werden.
Dieses Muster lohnt sich zu benennen: Als sich die KI-Infrastruktur in GPU-Clouds und große On-Prem-Cluster konsolidierte, wurde die Management Plane zum Kronjuwel, und ihre Sicherheit wuchs nicht mit ihren Privilegien mit. Cloud-Partner und GPU-as-a-Service-Anbieter setzen NICo gerade deshalb ein, weil es die Bereitstellung von Racks mit DPUs automatisiert; diese Automatisierung ist wertvoll, und zwar für einen Angreifer im exakt selben Maß. NVIDIAs Dokumentation führt Vault und external-secrets als Teil des Referenz-Deployments an, was das hart codierte Credential umso auffälliger macht: Der umgebende Stack versucht, Secrets ordnungsgemäß zu verwalten, während der Controller selbst eines ab Werk eingebaut mitliefert.
Die direkte Lösung ist mechanisch: Upgrade auf NICo Version 2.0, oder Klonen des neuesten Releases aus dem offiziellen GitHub-Repository des Projekts. Das ist die Voraussetzung, nicht die gesamte Antwort.
Das offizielle NICo-Quellrepository (github.com/dsx-ai-factory/infra-controller, aufgenommen am 30.09.2026): das Open-Source-Zuhause des NVIDIA Infra Controller, verlagert aus der NVIDIA-Organisation am 4. September 2026; Version 2.0 ist das behobene Release für Bulletin 5879.
Erstens sollte man die Management Plane als das behandeln, was sie ist: das am höchsten privilegierte Netz der gesamten Infrastruktur. NICo sollte, wie andere Infrastructure-Controller auch, nur über ein dediziertes Management-VLAN oder einen Jump-Host-Pfad für Operatoren erreichbar sein, niemals aus Tenant-Netzwerken oder dem Internet. Die von ihr bereitgestellten DPUs sind durch die Host-Betriebssysteme der Tenants nicht kontrollierbar, was bedeutet, dass der Controller der kritische Ausfallpunkt für das Sicherheitsmodell auf Hardware-Ebene ist: Fällt der Controller, fällt die Isolation als Ganzes.
Zweitens sollte man vor dem erneuten Vertrauen in das Upgrade die Credentials prüfen: Hart codierte Passwörter und Standardkonten in der gesamten Controller-Konfiguration scannen und alles rotieren, was nach Übernahme aussieht. Drittens gilt für Multi-Tenant-Betreiber, ob im Finanzbereich oder anderswo, dieses Advisory ist ausdrücklich auf AI-Cloud- und GPU-as-a-Service-Anbieter gemünzt: Die Isolation der Management Plane gehört in den Änderungsplan, nicht nur das Versions-Upgrade.
Redaktionelles Diagramm von Netics auf Basis der Empfehlungen aus Bulletin 5879: die Management Plane vor der Behebung, mit NICo 0 bis 1.9 erreichbar aus Tenant-Netzwerken und mit hart codierten Credentials, und danach, mit NICo 2.0 auf einem dedizierten Management-VLAN und einer abgeschlossenen Credential-Prüfung.
Es ist dieselbe Lehre, die die BlueField-4-Analyse zur Skalierung aus einer anderen Richtung zog: Wenn die Kontrolle den Host verlässt und in die Infrastruktur-Hardware wandert, wird die Control Plane zur Trust-Boundary, und jeder Betreiber muss genau wissen, was diese Ebene tun kann. Hier kann die Ebene die Hardware jedes Tenants bereitstellen, und bis zu diesem Advisory antwortete sie auf ein hart codiertes Credential. Upgraden, isolieren, prüfen, in dieser Reihenfolge und bevor die nächste Charge an GPU-Kapazität online geht.
Zuerst veröffentlicht auf dem Netics-Blog.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
Posted on Oct 21 • Originally published at blog.neticslabs.com
A hard-coded credential in a random web app is a bad day. A hard-coded credential in the controller that provisions every server, DPU, and tenant network in an AI data center is a different class of problem, because of what the controller is allowed to do.
NICo's own documentation describes it as delivering "zero-touch lifecycle automation for bare-metal systems that secures datacenter infrastructure at its foundation." The architecture is a Kubernetes-based control plane with a REST API, site agents, and Temporal workflows, deployed on the bare-metal cluster it manages. It handles hardware discovery, firmware validation, DPU provisioning through the DOCA Platform Framework, OS deployment, network isolation, and tenant sanitization. It is the single authority that prepares a bare-metal machine to become part of a multi-tenant AI cloud.
Official NVIDIA Product Security page (nvidia.com/en-us/product-security/, captured 2026-09-30): the bulletin listing shows the September 2026 NVIDIA Infrastructure Controller advisory (5879), rated Critical, with CVE-2026-65113 first in the list of fourteen.
That centrality is exactly what makes CVE-2026-65113 dangerous. The flaw allows an unauthenticated remote attacker to bypass authentication using the static credentials; NVIDIA's advisory describes a successful exploit as potentially leading to escalation of privileges, data tampering, denial of service, and information disclosure. Applied to NICo, that is not one server: it is the plane from which an attacker can reach every tenant's bare metal, every DPU, and the network isolation the controller is supposed to enforce. NVIDIA's own security guidance in the same disclosure cycle is blunt about the class: restrict access to administrative interfaces and isolate management-plane services from untrusted networks.
The hard-coded credentials are the headline, but they are not the whole story. CVE-2026-65128 is a SQL injection rated 8.8 that low-privilege attackers can use to reach code execution. CVE-2026-65114 is missing authentication on a critical function, rated 8.3.
CVE-2026-65121 is improper authentication enabling privilege escalation, at 8.2. CVE-2026-65130 is OS command injection at 8.0. Add improper certificate validation (7.5 and 6.7), external file/path control, XML injection, workflow-enforcement failures, a separate hard-coded password, uncontrolled resource consumption, and uncleared debug information, and the picture is consistent: a management plane that accumulated authentication and trust-validation weaknesses across its release history, disclosed together because they were only reviewed together.
Official NVIDIA Infra Controller documentation (docs.nvidia.com/infra-controller, captured 2026-09-30): "What is NICo?" — the zero-touch bare-metal lifecycle management controller that the September bulletin's fourteen CVEs address.
The pattern is worth naming: as AI infrastructure consolidated into GPU clouds and large on-prem clusters, the management plane became the crown jewel, and its security did not scale with its privileges. Cloud partners and GPU-as-a-service providers run NICo precisely because it automates provisioning of DPU-equipped racks; that automation is valuable, and it is valuable to an attacker in exactly the same proportion. NVIDIA's documentation lists Vault and external-secrets as part of the reference deployment, which makes the hard-coded credential all the more conspicuous: the surrounding stack attempts to manage secrets properly while the controller itself ships with one baked in.
The direct fix is mechanical: upgrade to NICo version 2.0, or clone the latest release from the project's official GitHub repository. That is the precondition, not the whole answer.
Official NICo source repository (github.com/dsx-ai-factory/infra-controller, captured 2026-09-30): the open-source home of the NVIDIA Infra Controller, moved from the NVIDIA organization on September 4, 2026; version 2.0 is the fixed release for bulletin 5879.
First, treat the management plane as what it is — the most privileged network in the estate. NICo, like other infrastructure controllers, should be reachable only from a dedicated management VLAN or jump-host path for operators, never from tenant networks or the internet. The DPUs it provisions are not controllable by tenant host operating systems, which means the controller is the critical point of failure for the hardware-level security model: if the controller goes, so does the isolation story.
Second, audit for credentials before re-trusting the upgrade: scan for hard-coded passwords and default accounts across the controller configuration, and rotate anything that looks inherited. Third, if you are a multi-tenant operator, financial or otherwise — this advisory is aimed squarely at AI-cloud and GPU-as-a-service providers — write the management-plane isolation into your change plan, not just the version bump.
Netics editorial diagram grounded in bulletin 5879 guidance: the management plane before the fix — NICo 0–1.9 reachable from tenant networks with hard-coded credentials — and after — NICo 2.0 on a dedicated management VLAN with a completed credential audit.
This is the same lesson the BlueField-4 scale-in analysis drew from a different direction: when control leaves the host and moves into infrastructure hardware, the control plane becomes the trust boundary, and every operator needs to know exactly what that plane can do. Here the plane can provision every tenant's hardware, and until this advisory it answered to a hard-coded credential. Upgrade, isolate, audit — in that order, and before the next batch of GPU capacity goes online.
Originally published on the Netics blog.