WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Nvidia cảnh báo lỗi nghiêm trọng trong trình điều khiển GPU và phần mềm vGPU
Nvidia vừa tiết lộ một nhóm lỗ hổng an ninh trong trình điều khiển GPU, có thể khiến game thủ bị tấn công leo thang đặc quyền, thực thi mã tùy ý, từ chối dịch vụ (DoS) và tiết lộ thông tin.
Trong khi đó, phần mềm GPU ảo (vGPU) cũng có một nhóm lỗi có thể dẫn đến loạt các cuộc tấn công tương tự.
5 lỗ hổng an ninh trong trình điều khiển GPU
Lỗi nghiêm trọng nhất (CVE-2021-1074, điểm CVSS 7,5/10) tồn tại trong trình cài đặt của GPU và cho phép kẻ tấn công có quyền truy cập hệ thống cục bộ thay thế tài nguyên ứng dụng bằng các tệp độc hại. Một cuộc tấn công như vậy có thể dẫn đến thực thi mã, leo thang đặc quyền, từ chối dịch vụ hoặc tiết lộ thông tin.
Lỗi nghiêm trọng thứ hai là CVE-2021-1075, điểm CVSS 7,3/10 tồn tại trong trình xử lý lớp chế độ kernel (nvlddmkm.sys) cho DxgkDdiEscape của Trình điều khiển GPU cho Windows, tất cả các phiên bản, có thể dẫn đến mã thực thi, từ chối dịch vụ hoặc leo thang đặc quyền.
Hai lỗi trung bình khác là CVE-2021-1076 và CVE-2021-1077, điểm CVSS 6,6. Lỗi đầu tiên nằm trong lớp chế độ hạt nhân (nvlddmkm.sys hoặc nvidia.ko)của Trình điều khiển GPU dành cho Windows và Linux, tất cả các phiên bản, có thể dẫn đến từ chối dịch vụ, tiết lộ thông tin hoặc hỏng dữ liệu. Lỗi thứ hai nằm trong nhánh trình điều khiển R450 và R460 của Trình điều khiển hiển thị GPU cho Windows và Linux, có thể dẫn đến từ chối dịch vụ.
Cuối cùng, lỗ hổng có mức nghiêm trọng trung bình (CVE-2021-1078) nằm trong trình điều khiển kernel (nvlddmkm.sys) của Trình điều khiển GPU dành cho Windows, tất cả các phiên bản, có thể dẫn đến lỗi hệ thống.
8 lỗ hổng trong phần mềm Nvidia vGPU
GPU ảo hóa cho phép tăng tốc tính toán phù hợp với khối lượng công việc sử dụng nhiều tài nguyên như máy trạm ảo giàu đồ họa, khoa học dữ liệu và trí tuệ nhân tạo.
Bốn lỗi đầu tiên là lỗi xác thực đầu vào có mức độ nghiêm trọng cao, có thể dẫn đến tiết lộ thông tin, giả mạo dữ liệu hoặc DoS.
Bốn lỗ hổng còn lại có thể dẫn đến nhiều kết quả khác nhau nếu bị khai thác như giả mạo dữ liệu hoặc DoS:
CVE‑2021‑1084 (điểm CVSS 7,8): Một lỗ hổng trong trình điều khiển chế độ kernel khách và Trình quản lý vGPU (vGPU plugin), trong đó độ dài đầu vào không được xác thực, có thể dẫn đến giả mạo dữ liệu, DoS, leo thang đặc quyền, tiết lộ thông tin...
Nvidia đã phát hành các bản vá để giảm thiểu tất cả các lỗi, người dùng có thể tải xuống thông qua trang Tải xuống trình điều khiển Nvidia hoặc, đối với bản cập nhật phần mềm vGPU, thông qua Cổng cấp phép Nvidia.
Trong khi đó, phần mềm GPU ảo (vGPU) cũng có một nhóm lỗi có thể dẫn đến loạt các cuộc tấn công tương tự.
5 lỗ hổng an ninh trong trình điều khiển GPU
Lỗi nghiêm trọng nhất (CVE-2021-1074, điểm CVSS 7,5/10) tồn tại trong trình cài đặt của GPU và cho phép kẻ tấn công có quyền truy cập hệ thống cục bộ thay thế tài nguyên ứng dụng bằng các tệp độc hại. Một cuộc tấn công như vậy có thể dẫn đến thực thi mã, leo thang đặc quyền, từ chối dịch vụ hoặc tiết lộ thông tin.
Lỗi nghiêm trọng thứ hai là CVE-2021-1075, điểm CVSS 7,3/10 tồn tại trong trình xử lý lớp chế độ kernel (nvlddmkm.sys) cho DxgkDdiEscape của Trình điều khiển GPU cho Windows, tất cả các phiên bản, có thể dẫn đến mã thực thi, từ chối dịch vụ hoặc leo thang đặc quyền.
Hai lỗi trung bình khác là CVE-2021-1076 và CVE-2021-1077, điểm CVSS 6,6. Lỗi đầu tiên nằm trong lớp chế độ hạt nhân (nvlddmkm.sys hoặc nvidia.ko)của Trình điều khiển GPU dành cho Windows và Linux, tất cả các phiên bản, có thể dẫn đến từ chối dịch vụ, tiết lộ thông tin hoặc hỏng dữ liệu. Lỗi thứ hai nằm trong nhánh trình điều khiển R450 và R460 của Trình điều khiển hiển thị GPU cho Windows và Linux, có thể dẫn đến từ chối dịch vụ.
Cuối cùng, lỗ hổng có mức nghiêm trọng trung bình (CVE-2021-1078) nằm trong trình điều khiển kernel (nvlddmkm.sys) của Trình điều khiển GPU dành cho Windows, tất cả các phiên bản, có thể dẫn đến lỗi hệ thống.
8 lỗ hổng trong phần mềm Nvidia vGPU
GPU ảo hóa cho phép tăng tốc tính toán phù hợp với khối lượng công việc sử dụng nhiều tài nguyên như máy trạm ảo giàu đồ họa, khoa học dữ liệu và trí tuệ nhân tạo.
Bốn lỗi đầu tiên là lỗi xác thực đầu vào có mức độ nghiêm trọng cao, có thể dẫn đến tiết lộ thông tin, giả mạo dữ liệu hoặc DoS.
Bốn lỗ hổng còn lại có thể dẫn đến nhiều kết quả khác nhau nếu bị khai thác như giả mạo dữ liệu hoặc DoS:
CVE‑2021‑1084 (điểm CVSS 7,8): Một lỗ hổng trong trình điều khiển chế độ kernel khách và Trình quản lý vGPU (vGPU plugin), trong đó độ dài đầu vào không được xác thực, có thể dẫn đến giả mạo dữ liệu, DoS, leo thang đặc quyền, tiết lộ thông tin...
Nvidia đã phát hành các bản vá để giảm thiểu tất cả các lỗi, người dùng có thể tải xuống thông qua trang Tải xuống trình điều khiển Nvidia hoặc, đối với bản cập nhật phần mềm vGPU, thông qua Cổng cấp phép Nvidia.
Theo Threatpost