Nvidia met en garde contre des failles de son pilote graphique

0

Nvidia, qui fabrique des unités de traitement graphique (GPU) conviviales pour les jeux, a corrigé une série de failles de haute gravité affectant son pilote graphique. Les vulnérabilités permettent aux individus malveillants de paralyser les systèmes par des attaques de déni de service, d’augmenter les privilèges, de falsifier des données ou de détecter des données sensibles.

Le pilote graphique de Nvidia (anciennement appelé pilote d’affichage GPU) pour Windows est concerné. Le pilote graphique est utilisé dans les appareils destinés aux joueurs passionnés; c’est le composant logiciel qui permet au système d’exploitation et aux programmes de l’appareil d’utiliser son matériel graphique de haut niveau optimisé pour les jeux.

nvidia

La mise à jour de sécurité de Nvidia corrige les failles liées à 16 CVE au total. Le plus grave d’entre eux (CVE-2021-1051) est un problème dans la couche de mode noyau des pilotes graphiques. Cette faille a une note de 8,4 sur 10 sur l’échelle CVSS, ce qui en fait une vulnérabilité de gravité élevée.

Le mode noyau est généralement réservé aux fonctions de niveau le plus bas et les plus fiables du système d’exploitation; dans ce cas, le gestionnaire de couche (nvlddmkm.sys) pour l’interface DxgkDdiEscape contient un bug où une opération est effectuée et cette dernière pourrait être utilisée abusivement pour lancer une attaque par déni de service ou augmenter les privilèges.

Une autre faille de gravité élevée (CVE-2021-1052) dans ce même gestionnaire de couche en mode noyau (nvlddmkm.sys) pour DxgkDdiEscape pourrait permettre aux clients en mode utilisateur d’accéder aux interfaces de programmation d’applications (API) héritées avec privilèges. Selon Nvidia, cela «peut entraîner un déni de service, une élévation des privilèges et la divulgation d’informations».

Nvidia a également éliminé quatre failles de gravité moyenne dans son pilote graphique. Trois d’entre elles (CVE-2021-1053, CVE-2021-1054, CVE-2021-1055) proviennent également du gestionnaire de couche de mode noyau (nvlddmkm.sys) pour DxgkDdiEscape, tandis que la quatrième faille (CVE-2021-1056) se trouve dans une couche de mode noyau (nvidia.ko) qui n’honore pas complètement les autorisations du système de fichiers du système d’exploitation pour fournir une isolation au niveau du périphérique graphique. Cela pourrait permettre la divulgation de déni de service ou d’informations.

Au-delà de ses pilotes graphiques, Nvidia a mis en garde contre les failles liées à neuf CVE de haute gravité dans son logiciel de GPU virtuel (vGPU). Le vGPU de Nvidia crée des postes de travail et des postes de travail virtuels utilisant des graphiques en tandem avec les GPU accélérateurs de Tesla du centre de données de la société.

Les failles du logiciel du vGPU de Nvidia

La plupart des failles corrigées dans l’avis de sécurité de Nvidia de jeudi proviennent du gestionnaire de vGPU de Nvidia, son outil qui permet à plusieurs machines virtuelles d’avoir un accès simultané et direct à un seul GPU physique, tout en utilisant également les pilotes graphiques Nvidia déployés sur des systèmes d’exploitation non virtualisés.

nvidia

Une faille de gravité élevée existe dans un plug-in du gestionnaire vGPU (CVE-2021-1057). Ce problème pourrait permettre aux invités d’allouer certaines ressources pour lesquelles ils ne sont pas autorisés – ce qui, selon Nvidia, pourrait entraîner une perte d’intégrité et de confidentialité des données, et une divulgation d’informations. Le gestionnaire vGPU contient également une faille dans le plug-in vGPU (CVE-2021-1059), dans laquelle un index d’entrée n’est pas validé, ce qui pourrait entraîner un débordement d’entier. Une condition de concurrence critique (CVE-2021-1061) dans le plug-in vGPU du gestionnaire de vGPU pourrait essentiellement l’amener à utiliser une ressource précédemment validée qui a changé depuis, ce qui peut conduire à un déni de service ou à la divulgation d’informations.

Et, dans un autre problème de plug-in Nvidia vGPU (CVE-2021-1065), les données d’entrée ne sont pas validées, ce qui peut conduire à une falsification des données ou à un déni de service.

Diverses branches de pilotes Nvidia GeForce Windows et Linux sont affectées. Nvidia a publié une liste complète des versions affectées et des versions de pilotes mises à jour sur son avis de sécurité. Le fabricant de puces graphiques a également publié des correctifs pour des versions spécifiques du logiciel vGPU affectées par ces failles sur son site Web.

L’avis de sécurité est le premier de Nvidia en 2021. L’année dernière, la société a déployé un nombre important de correctifs; y compris des correctifs pour deux failles de haute gravité dans la version Windows de son logiciel GeForce Experience, et un correctif pour une faille critique dans sa gamme de serveurs DGX hautes performances, tous deux en Octobre; et une faille très grave dans son logiciel d’application GeForce NOW pour Windows en Novembre.

Laisser un commentaire