Nvidia, som fremstiller spilvenlige grafikprocessorenheder (GPU’er), har udsendt rettelser til to alvorlige fejl i Windows-versionen af GeForce Experience-softwaren.
GeForce Experience er et tillægsprogram til GeForce GTX-grafikkortet – det holder brugernes drivere opdateret, optimerer automatisk deres spilindstillinger og meget mere. GeForce Experience installeres som standard på systemer, der kører NVIDIA GeForce-produkter, Nvidias mærke af GPU’er.
Den alvorligste af de to fejl (CVE-2020-5977) kan føre til en lang række ondsindede angreb på de berørte systemer – herunder udførelse af kode, lammelsesangreb, eskalering af rettigheder og videregivelse af oplysninger. Den rangerer 8,2 ud af 10 på CVSS-skalaen, hvilket gør den meget alvorlig.
I en sikkerhedsbekendtgørelse fra torsdag siger grafikgiganten, at brugerne kan “downloade opdateringerne fra GeForce Experience Downloads-siden eller åbne klienten for automatisk at anvende sikkerhedsopdateringen.”
Fejlen stammer specifikt fra Nvidia Web Helper NodeJS Web Server. Når brugerne installerer GeForce Experience, kører Node.js ved opstart og leverer en webserverforbindelse med Nvidia. Problemet her er, at der bruges en ukontrolleret søgesti til at indlæse et node-modul, hvilket sker, når et program bruger faste søgestier til at finde ressourcer – men en eller flere steder i stien er under kontrol af en ondsindet bruger. Angribere kan udnytte taktikker som DLL-preloading, binær plantning og usikker biblioteksindlæsning for at udnytte denne sårbarhed.
Selv om der ikke foreligger yderligere oplysninger om denne specifikke fejl fra Nvidia, sagde virksomheden, at angribere kan udnytte fejlen til at udføre kode, iværksætte et DoS-angreb, eskalere deres privilegier eller se følsomme data. Xavier DANEST fra Decathlon blev krediteret for at have opdaget fejlen.
Nvidia udsendte torsdag også patches for en anden høj-sværhedsfejl i ShadowPlay-komponenten i GeForce Experience (CVE-2020-5990), som kan føre til lokal rettighedsforøgelse, udførelse af kode, DoS eller videregivelse af oplysninger. Hashim Jawad fra ACTIVELabs blev krediteret for at have opdaget fejlen.
Versioner af Nvidia GeForce Experience for Windows før 3.20.5.70 er berørt; brugerne opfordres til at opdatere til version 3.20.5.70.
Nvidia har tidligere advaret om sikkerhedsproblemer, der påvirker dets GeForce-mærke, herunder et problem, der påvirker GeForce Experience i 2019, som kan føre til udførelse af kode eller lammelse af tjenesten af produkter, hvis det udnyttes.
I juni rettede Nvidia to fejl af høj alvorlighed, der påvirkede drivere til Windows- og Linux-brugere, herunder dem, der bruger Nvidias GeForce-, Quadro- og Tesla-software. Og i marts udsendte Nvidia patches til fejl med høj alvorlighed i sin grafikdriver, som kan udnyttes af en lokal angriber til at iværksætte DoS- eller kodeudførelsesangreb, og som også påvirkede skærmdrivere, der anvendes i GeForce- (samt Quadro- og Tesla-mærkede) GPU’er til Windows.