A NVIDIA lançou uma atualização de segurança do driver de vídeo da GPU para corrigir cinco vulnerabilidades de alta e média gravidade que podem levar à execução de código local, escalada de privilégios e negação de serviço em computadores Windows vulneráveis.
Todas as falhas de segurança corrigidas hoje pela NVIDIA exigem acesso de usuário local e não podem ser exploradas remotamente, com invasores em potencial precisando confiar na interação do usuário para executar códigos mal-intencionados projetados para explorar um dos bugs corrigidos em máquinas com drivers de exibição não corrigidos.
A NVIDIA recomenda que os usuários atualizem seus drivers de vídeo GPU GeForce, Quadro, NVS e Tesla Windows aplicando a atualização de segurança disponível na página de downloads de drivers da NVIDIA .
Problemas de segurança com classificações de severidade altas
Os problemas vêm com escores base do CVSS V3 variando de 5,2 a 8,8, com três deles tendo recebido avaliações de risco de alta gravidade da NVIDIA, enquanto outros dois receberam escores de base de risco médio, todos impactando as máquinas Windows.
Ao abusar dessas vulnerabilidades do driver de exibição da GPU, os possíveis invasores podem escalonar seus privilégios, tornando possível obter permissões acima das padrão inicialmente concedidas pelo sistema comprometido.
As falhas também permitiriam que as máquinas vulneráveis ficassem temporariamente inutilizáveis, acionando um estado de negação de serviço ou para executar códigos maliciosos localmente nos sistemas Windows comprometidos.
Os problemas de segurança de software fixados pela NVIDIA como parte da atualização de segurança de agosto de 2019 estão listados abaixo, juntamente com as descrições completas e as pontuações básicas do CVSS V3 atribuídas pela empresa a cada uma delas.
| CVE‑2019‑5683 | NVIDIA Windows GPU Display Driver contains a vulnerability in the user mode video driver trace logger component. When an attacker has access to the system and creates a hard link, the software does not check for hard link attacks. This behavior may lead to code execution, denial of service, or escalation of privileges. | 8.8 |
| CVE‑2019‑5684 | NVIDIA Windows GPU Display Driver contains a vulnerability in DirectX drivers, in which a specially crafted shader can cause an out of bounds access of an input texture array, which may lead to denial of service or code execution. | 7.8 |
| CVE‑2019‑5685 | NVIDIA Windows GPU Display Driver contains a vulnerability in DirectX drivers, in which a specially crafted shader can cause an out of bounds access to a shader local temporary array, which may lead to denial of service or code execution. | 7.8 |
| CVE‑2019‑5686 | NVIDIA Windows GPU Display Driver contains a vulnerability in the kernel mode layer (nvlddmkm.sys) handler for DxgkDdiEscape in which the software uses an API function or data structure in a way that relies on properties that are not always guaranteed to be valid, which may lead to denial of service. | 5.6 |
| CVE‑2019‑5687 | NVIDIA Windows GPU Display Driver contains a vulnerability in the kernel mode layer (nvlddmkm.sys) handler for DxgkDdiEscape in which an incorrect use of default permissions for an object exposes it to an unintended actor, which may lead to information disclosure or denial of service. | 5.2 |
Driver de exibição de GPU NVIDIA de hoje - O boletim de segurança de agosto de 2019 também lista as versões de driver impactadas pelos cinco problemas de segurança corrigidos:
| Produto de Software | Sistema operacional | Versões Afetadas | Versão atualizada |
|---|---|---|---|
| GeForce | Windows | Todas as versões do R430 anteriores a 431,60 | 431,60 |
| Quadro, NVS | Windows | Todas as versões do R430 anteriores a 431,70 | 431,70 |
| Todas as versões do R418 anteriores a 426,00 |
426,00
| ||
| Todas as versões do R400 | Disponível na semana de 19 de agosto de 2019 | ||
| Todas as versões do R390 anteriores a 392,56 | 392,56 | ||
| Tesla | Windows | Todas as versões do R418 | Disponível na semana de 12 de agosto de 2019 |
A NVIDIA diz que alguns dos usuários que não corrigem as falhas manualmente também podem receber as versões do driver do Windows 431.23, 425.85 ou 412.39 contendo as atualizações de segurança de seus fornecedores de hardware de computador.
"A tabela acima pode não ser uma lista abrangente de todas as versões afetadas ou lançamentos de filiais e pode ser atualizada à medida que mais informações estiverem disponíveis", acrescenta a NVIDIA.
