Una serie di vulnerabilità nei driver Nvidia minaccia la sicurezza di sistemi Windows e Linux su cui sono in funzione GPU GeForce, Quadro, NVS e Tesla. Per questo l'azienda ha pubblicato una serie di
aggiornamenti di cui è caldeggiata l'installazione. Il quadro delle criticità è riassunto alla pagina del
supporto ufficiale, dove si contano sei bug driver con punteggi CVSS compresi tra 5,5 e 7,8.
La prima vulnerabilità, CVE-2020-5962, interessa il pannello di controllo Nvidia. Sfruttandola, un cyber criminale che agisce da locale potrebbe danneggiare i file di sistema, portando a DoS o a un'escalation dei privilegi.
CVE-2020-5963 affligge invece le API di comunicazione tra processi del driver CUDA. Può essere sfruttato per l'esecuzione del codice, un DoS, o la perdita di informazioni. CVE-2020-5964 è invece un errore nel componente host del servizio del driver video. Può portare il sistema a ignorare i controlli di integrità delle risorse, causando potenziali attacchi di code execution, DoS o divulgazione delle informazioni.
Quest'ultima vulnerabilità beneficia già di una patch, così come la CVE-2020-5965, che causa un problema nel driver DirectX 11. In presenza di uno shader appositamente predisposto può causare un accesso out of bounds, che a sua volta causa un denial of service.
Nvidia ha colto l'occasione per risolvere anche la vulnerabilità CVE-2020-5966 che riguarda la modalità kernel del driver di visualizzazione basato su Windows. Anche in questo caso un attacco mirato potrebbe portare all'escalation dei privilegi o a un DoS. Riguarda invece Linux il bug CVE-2020-5967: un errore di race condition potrebbe portare a un denial of service.
Scorrendo la pagina dell'assistenza emergono poi sei vulnerabilità che interessano il plugin vGPU del software Nvidia Virtual GPU Manager, tre bug che causano problemi di convalida delle risorse e altri che potrebbero essere sfruttati per l'esecuzione di codice da remoto, l'escalation dei privilegi e altro.
Nvidia ha ringraziato i ricercatori che hanno segnalato del falle: Cisco Talos, CyberArk Labs, Secure D Center, Sittikorn Sangrattanapitak e Thomas Carroll. Alcune delle patch sono già disponibili, altre verranno pubblicate la prossima settimana: in questi giorni consigliamo quindi di accettare i suggerimenti per gli aggiornamenti Nvidia.