Nvidia, qui fabrique des processeurs graphiques (GPU) adaptés aux jeux, a publié des correctifs pour deux failles de haute gravité dans la version Windows de son logiciel GeForce Experience.
GeForce Experience est une application supplémentaire à la carte graphique GeForce GTX – elle maintient les pilotes des utilisateurs à jour, optimise automatiquement leurs paramètres de jeu et plus encore. GeForce Experience est installé par défaut sur les systèmes utilisant les produits NVIDIA GeForce, la marque de GPU de Nvidia.
La plus grave des deux failles (CVE-2020-5977) peut conduire à une multitude d’attaques malveillantes sur les systèmes affectés – y compris l’exécution de code, le déni de service, l’élévation de privilèges et la divulgation d’informations. Elle est classée 8,2 sur 10 sur l’échelle CVSS, ce qui lui confère une gravité élevée.
Dans un avis de sécurité publié jeudi, le géant graphique a déclaré que les utilisateurs peuvent « télécharger les mises à jour depuis la page de téléchargement de GeForce Experience ou ouvrir le client pour appliquer automatiquement la mise à jour de sécurité. »
La faille provient spécifiquement du serveur Web NodeJS Nvidia Web Helper. Lorsque les utilisateurs installent GeForce Experience, Node.js s’exécute au démarrage et fournit une connexion de serveur web avec Nvidia. Le problème ici est qu’un chemin de recherche non contrôlé est utilisé pour charger un module Node, ce qui se produit lorsqu’une application utilise des chemins de recherche fixes pour trouver des ressources – mais un ou plusieurs emplacements du chemin sont sous le contrôle d’un utilisateur malveillant. Les attaquants peuvent tirer parti de tactiques telles que le préchargement de DLL, le plantage de binaires et le chargement de bibliothèques non sécurisées afin d’exploiter cette vulnérabilité.
Bien que Nvidia n’ait pas fourni de détails supplémentaires concernant cette faille spécifique, la société a déclaré que les attaquants peuvent tirer parti de la faille pour exécuter du code, lancer une attaque DoS, escalader leurs privilèges ou visualiser des données sensibles. Xavier DANEST de Decathlon a été crédité de la découverte de la faille.
Nvidia a également publié jeudi des correctifs pour une autre faille de haute gravité dans le composant ShadowPlay de GeForce Experience (CVE-2020-5990), qui peut conduire à une élévation locale des privilèges, une exécution de code, un DoS ou une divulgation d’informations. Hashim Jawad d’ACTIVELabs a été crédité de la découverte de la faille.
Les versions de Nvidia GeForce Experience pour Windows antérieures à 3.20.5.70 sont affectées ; les utilisateurs sont invités à mettre à jour vers la version 3.20.5.70.
Nvidia a précédemment mis en garde contre des problèmes de sécurité affectant sa marque GeForce, notamment un problème affectant GeForce Experience en 2019 qui pourrait conduire à une exécution de code ou à un déni de service des produits s’il est exploité.
En juin, Nvidia a corrigé deux failles de haute gravité qui affectaient les pilotes pour les utilisateurs de Windows et de Linux, y compris ceux qui utilisent les logiciels GeForce, Quadro et Tesla de Nvidia. Et en mars, Nvidia a publié des correctifs pour des bogues de haute gravité dans son pilote graphique, qui peuvent être exploités par un attaquant local pour lancer des attaques DoS ou d’exécution de code, et qui affectaient également les pilotes d’affichage utilisés dans les GPU GeForce (ainsi que ceux de marque Quadro et Tesla) pour Windows.