Nvidia a publié un correctif pour un ensemble de vulnérabilités de sécurité sérieuses affectant les utilisateurs de son logiciel GeForce Experience et de son pilote d'affichage GPU.
La société a récemment publié deux avis de sécurité distincts détaillant les vulnérabilités et, s’ils ne sont pas corrigés, les plus graves de ces vulnérabilités pourraient permettre l’exécution de code ou la divulgation d’informations.
Nvidia a résolu trois vulnérabilités dans son logiciel GeForce Experience. La première vulnérabilité, nommée CVE-2019-5701, découverte par Hashim Jawad d’ACTIVELabs, est un problème dans GameStream qui pourrait permettre à un attaquant disposant d’un accès local de charger les DLL du pilote graphique Intel sans validation du chemin. Cela pourrait potentiellement conduire à une exécution de code arbitraire, à une élévation de privilèges, à un déni de service (DOS) ou à la divulgation d'informations.
La deuxième vulnérabilité, intitulée CVE-2019-5689, a été découverte par Siyuan Yi de l'Université de technologie de Chengdu et existe dans le téléchargeur GeForce. Un attaquant disposant d'un accès local pourrait exploiter cette vulnérabilité pour créer et exécuter du code permettant de transférer et de sauvegarder des fichiers malveillants.
La troisième vulnérabilité, intitulée CVE-2019-5695, a été découverte par Peleg Hadar de SafeBreach Labs à l’intérieur du composant fournisseur de services local GeForce. Pour exploiter cette vulnérabilité, un attaquant aurait besoin d'un accès local et d'un accès privilégié. Cependant, s'ils obtenaient ces informations, il serait possible d'utiliser un chargement de DLL système Windows incorrect pour provoquer un vol de données ou de DOS.
Sommaire
Afficher les vulnérabilités du pilote
Le dernier correctif de Nvidia a également résolu six vulnérabilités du pilote d'affichage du GPU Windows de Nvidia. Parmi ces failles, CVE-2019-5690 était la plus critique. Il s’agit d’un problème de gestionnaire de couche en mode noyau dans lequel la taille de l’entrée n’est pas validée, ce qui peut entraîner une augmentation de la sécurité ou une augmentation des privilèges. De plus, CVE-2019-5691 a été trouvé dans le même système dans lequel des erreurs de pointeur nul peuvent être exploitées avec le même résultat.
CVE-2019-5692 et CVE-2019-5693 sont également dans le gestionnaire de couches en mode noyau, mais Nvidia a également résolu ces problèmes. La première vulnérabilité concerne les entrées non fiables lors du calcul ou de l'utilisation d'un index de tableau, ce qui peut entraîner une élévation de privilèges ou un déni de service. La deuxième faille de sécurité concerne la manière dont le programme accède ou utilise les pointeurs et pourrait conduire à un déni de service si elle est exploitée.
Nvidia a également corrigé les vulnérabilités CVE-2019-5694 et CVE-2019-5695 du pilote d’affichage qui entraînaient des problèmes de chargement de DLL incorrects, susceptibles d’être exploités pour DoS ou la divulgation d’informations. Enfin, la société a résolu trois vulnérabilités dans Virtual GPU Manager.
Les versions de Nvidia GeForce Experience antérieures à la version 3.20.1 sont affectées par ces vulnérabilités et les utilisateurs doivent mettre à jour leur logiciel ainsi que leurs pilotes graphiques afin d'éviter d'être victime d'attaques de nature à exploiter ces vulnérabilités.
Via ZDNet
