Peliystävällisiä grafiikkasuorittimia (GPU) valmistava Nvidia on julkaissut korjaukset kahteen erittäin vakavaan virheeseen GeForce Experience -ohjelmistonsa Windows-versiossa.
GeForce Experience on GeForce GTX -näytönohjaimen oheissovellus – se pitää käyttäjien ajurit ajan tasalla, optimoi peliasetukset automaattisesti ja muuta. GeForce Experience asennetaan oletusarvoisesti järjestelmiin, joissa käytetään NVIDIA GeForce -tuotteita, Nvidian näytönohjainmerkkiä.
Kahdesta virheestä vakavin (CVE-2020-5977) voi johtaa lukuisiin haitallisiin hyökkäyksiin asianomaisissa järjestelmissä – mukaan lukien koodin suoritus, palvelunesto, etuoikeuksien laajentaminen ja tietojen paljastaminen. Se sijoittuu CVSS-asteikolla 8,2:een kymmenestä, mikä tekee siitä erittäin vakavan.
Torstaina antamassaan tietoturvatiedotteessa grafiikkajätti kertoi, että käyttäjät voivat ”ladata päivitykset GeForce Experience -lataussivulta tai avata asiakasohjelman, jotta tietoturvapäivitys voidaan ottaa automaattisesti käyttöön.”
Virhe johtuu nimenomaan Nvidia Web Helper NodeJS -verkkopalvelimesta. Kun käyttäjät asentavat GeForce Experiencen, Node.js suoritetaan käynnistyksen yhteydessä ja se tarjoaa verkkopalvelinyhteyden Nvidiaan. Ongelma on se, että Node-moduulin lataamiseen käytetään hallitsematonta hakupolkua, mikä tapahtuu, kun sovellus käyttää kiinteitä hakupolkuja resurssien etsimiseen – mutta yksi tai useampi polun sijainti on haitallisen käyttäjän hallinnassa. Hyökkääjät voivat hyödyntää taktiikoita, kuten DLL:n esilatausta, binäärin istuttamista ja turvattoman kirjaston lataamista, hyödyntääkseen tätä haavoittuvuutta.
Nvidia ei ole antanut lisätietoja tästä nimenomaisesta virheestä, mutta yhtiö kertoi, että hyökkääjät voivat käyttää virhettä hyväkseen suorittaakseen koodia, aloittaakseen DoS-hyökkäyksen, laajentaakseen etuoikeuksiaan tai katsellakseen arkaluonteisia tietoja. Xavier DANEST Decathlonilta sai kunnian löytää vian.
Nvidia julkaisi torstaina myös korjaukset toiseen erittäin vakavaan vikaan GeForce Experience -ohjelman ShadowPlay-komponentissa (CVE-2020-5990), joka voi johtaa paikallisen käyttöoikeuden laajentamiseen, koodin suorittamiseen, DoS-ongelmiin tai tietojen paljastumiseen. ACTIVELabsin Hashim Jawadin katsotaan löytäneen virheen.
Nvidia GeForce Experiencen Windows-versiot ennen versiota 3.20.5.70 ovat alttiita virheelle; käyttäjiä kehotetaan päivittämään versio 3.20.5.70:een.
Nvidia on aiemmin varoittanut GeForce-tuotemerkkiinsä vaikuttavista tietoturvaongelmista, mukaan lukien GeForce Experienceen vuonna 2019 vaikuttava ongelma, joka voi johtaa koodin suorittamiseen tai tuotteiden palvelunestoon, jos sitä hyödynnetään.
Kesäkuussa Nvidia korjasi kaksi erittäin vakavaa vikaa, jotka vaikuttivat Windows- ja Linux-käyttäjille tarkoitettuihin ajureihin, mukaan lukien niihin, jotka käyttävät Nvidian GeForce-, Quadro- ja Tesla-ohjelmistoja. Maaliskuussa Nvidia julkaisi korjaukset grafiikka-ajurissaan oleviin erittäin vakaviin virheisiin, joita paikallinen hyökkääjä voi hyödyntää DoS- tai koodin suoritushyökkäyksiin, ja jotka koskivat myös GeForce- (sekä Quadro- ja Tesla-merkkisissä) Windows-näytönohjaimissa käytettäviä näyttöajureita.