Nvidia, dat game-vriendelijke grafische verwerkingseenheden (GPU’s) maakt, heeft fixes uitgebracht voor twee zeer ernstige tekortkomingen in de Windows-versie van zijn GeForce Experience-software.
GeForce Experience is een aanvullende toepassing op de GeForce GTX grafische kaart – het houdt de stuurprogramma’s van gebruikers up-to-date, optimaliseert automatisch hun game-instellingen en meer. GeForce Experience wordt standaard geïnstalleerd op systemen met NVIDIA GeForce-producten, het merk GPU’s van Nvidia.
De ernstigste fout van de twee (CVE-2020-5977) kan leiden tot een reeks kwaadaardige aanvallen op getroffen systemen – waaronder het uitvoeren van code, denial of service, escalatie van privileges en het openbaar maken van informatie. Het scoort 8,2 op 10 op de CVSS-schaal, waardoor het zeer ernstig is.
In een beveiligingsadvies van donderdag zegt de grafische industrie dat gebruikers “de updates kunnen downloaden van de GeForce Experience Downloads-pagina of de client kunnen openen om de beveiligingsupdate automatisch toe te passen.”
De fout komt specifiek voort uit de Nvidia Web Helper NodeJS Web Server. Wanneer gebruikers GeForce Experience installeren, draait Node.js bij het opstarten en zorgt voor een webserververbinding met Nvidia. Het probleem hier is dat een ongecontroleerd zoekpad wordt gebruikt om een Node-module te laden, wat optreedt wanneer een toepassing vaste zoekpaden gebruikt om bronnen te vinden – maar een of meer locaties van het pad zijn onder controle van kwaadwillende gebruiker. Aanvallers kunnen tactieken als DLL preloading, binary planting en insecure library loading inzetten om deze kwetsbaarheid uit te buiten.
Hoewel verdere details over deze specifieke tekortkoming niet beschikbaar zijn bij Nvidia, heeft het bedrijf wel gezegd dat aanvallers de tekortkoming kunnen inzetten om code uit te voeren, een DoS-aanval uit te voeren, hun privileges te laten escaleren of gevoelige gegevens te bekijken. Xavier DANEST van Decathlon werd gecrediteerd voor het ontdekken van de fout.
Nvidia heeft donderdag ook patches uitgebracht voor een andere zeer ernstige fout in de ShadowPlay-component van GeForce Experience (CVE-2020-5990), die kan leiden tot lokale privilege-escalatie, code-uitvoering, DoS of het openbaar maken van informatie. Hashim Jawad van ACTIVELabs werd gecrediteerd voor het ontdekken van de fout.
Versies van Nvidia GeForce Experience voor Windows voorafgaand aan 3.20.5.70 zijn getroffen; gebruikers worden dringend verzocht om te updaten naar versie 3.20.5.70.
Nvidia heeft eerder gewaarschuwd voor beveiligingsproblemen die van invloed zijn op zijn GeForce-merk, waaronder een probleem met GeForce Experience in 2019 dat kan leiden tot code-executie of denial of service van producten als het wordt uitgebuit.
In juni repareerde Nvidia twee high-severity flaws die stuurprogramma’s voor Windows- en Linux-gebruikers troffen, inclusief degenen die Nvidia’s GeForce-, Quadro- en Tesla-software gebruiken. En in maart heeft Nvidia patches uitgebracht voor zeer ernstige bugs in zijn grafische stuurprogramma, die door een lokale aanvaller kunnen worden misbruikt om DoS- of code-executie-aanvallen uit te voeren, en ook invloed hadden op display-stuurprogramma’s die worden gebruikt in GeForce (evenals Quadro en Tesla-gemerkte) GPU’s voor Windows.