Nvidia, která vyrábí grafické procesory (GPU) vhodné pro hraní her, vydala opravy dvou závažných chyb ve verzi softwaru GeForce Experience pro Windows.
GeForce Experience je doplňková aplikace ke grafické kartě GeForce GTX – udržuje ovladače uživatelů aktuální, automaticky optimalizuje nastavení her a další. Aplikace GeForce Experience je ve výchozím nastavení nainstalována na systémech s produkty NVIDIA GeForce, což je značka grafických procesorů společnosti Nvidia.
Nejzávažnější z těchto dvou chyb (CVE-2020-5977) může vést k řadě škodlivých útoků na postižené systémy – včetně spuštění kódu, odepření služby, eskalace oprávnění a vyzrazení informací. Na stupnici CVSS má hodnotu 8,2 z 10, což znamená vysokou závažnost.
Ve čtvrtečním bezpečnostním upozornění grafický gigant uvedl, že uživatelé si mohou „stáhnout aktualizace ze stránky GeForce Experience Downloads nebo otevřít klienta, aby se aktualizace zabezpečení automaticky aplikovala.“
Chybu má konkrétně na svědomí webový server Nvidia Web Helper NodeJS. Když si uživatelé nainstalují aplikaci GeForce Experience, při spuštění se spustí Node.js a zajistí spojení webového serveru se společností Nvidia. Problém zde spočívá v tom, že k načtení modulu uzlu je použita nekontrolovaná vyhledávací cesta, k čemuž dochází, když aplikace používá k nalezení zdrojů pevné vyhledávací cesty – jedno nebo více míst cesty je však pod kontrolou škodlivého uživatele. Útočníci mohou ke zneužití této chyby využít taktiky, jako je přednačítání knihoven DLL, podstrčení binárních souborů a nezabezpečené načítání knihoven.
Ačkoli další podrobnosti týkající se této konkrétní chyby nejsou od společnosti Nvidia k dispozici, společnost uvedla, že útočníci mohou tuto chybu využít ke spuštění kódu, útoku DoS, eskalaci svých oprávnění nebo zobrazení citlivých dat. Za objevitele chyby byl označen Xavier DANEST ze společnosti Decathlon.
Nvidia ve čtvrtek také vydala záplaty pro další vysoce závažnou chybu v komponentě ShadowPlay v aplikaci GeForce Experience (CVE-2020-5990), která může vést k lokálnímu zvýšení oprávnění, spuštění kódu, DoS nebo vyzrazení informací. Na objevení chyby se podílel Hashim Jawad ze společnosti ACTIVELabs.
Postiženy jsou verze aplikace Nvidia GeForce Experience pro Windows před verzí 3.20.5.70; uživatelé jsou vyzváni k aktualizaci na verzi 3.20.5.70.
Nvidia již dříve upozornila na bezpečnostní problémy týkající se její značky GeForce, včetně problému postihujícího GeForce Experience v roce 2019, který by v případě zneužití mohl vést ke spuštění kódu nebo odepření služby produktů.
V červnu Nvidia opravila dvě vysoce závažné chyby, které postihovaly ovladače pro uživatele systémů Windows a Linux, včetně těch, které používají software Nvidia GeForce, Quadro a Tesla. A v březnu vydala Nvidia záplaty pro vysoce závažné chyby ve svém grafickém ovladači, které může lokální útočník zneužít k útokům typu DoS nebo spuštění kódu a které se týkaly také ovladačů displeje používaných v grafických procesorech GeForce (a také Quadro a Tesla) pro systém Windows.