NVIDIA GPU顯卡驅動漏洞安全通告
發布時間 2019-02-28漏洞編號和級別
CVE編號：CVE-2019-5665，危險級別：高危， CVSS分值：8.8
CVE編號：CVE-2019-5666，危險級別：高危， CVSS分值：8.8
CVE編號：CVE-2019-5667，危險級別：高危， CVSS分值：8.8
CVE編號：CVE-2019-5668，危險級別：高危， CVSS分值：8.8
CVE編號：CVE-2019-5669，危險級別：高危， CVSS分值：8.8
CVE編號：CVE-2019-5670，危險級別：高危， CVSS分值：7.8
CVE編號：CVE-2019-5671，危險級別：中危， CVSS分值：6.5
CVE編號：CVE-2019-6260，危險級別：低危， CVSS分值：2.2
影響范圍
受影響版本：
WINDOWS
LINUX
漏洞概述
NVIDIA （英偉達）發布安全更新，修復了8個 NVIDIA GPU 顯卡驅動軟件中的安全問題，它們可導致 Windows 和 Linux 設備出現代碼執行、權限提升、拒絕服務或信息泄漏等問題。
雖然所有的這些安全缺陷均需本地用戶訪問權限而無法遭遠程利用，但攻擊者可遠程利用它們通過多種方式在運行易受攻擊的 NVIDIA GPU 顯卡驅動的系統上植入惡意工具。
潛在的攻擊者能夠通過觸發可導致拒絕服務狀態的 CVE 使易受攻擊的機器不可用，而通過利用未修復的代碼執行漏洞，攻擊者能夠在遭攻陷的機器上運行命令或代碼。
準攻擊者還能通過利用導致信息泄漏的問題，收集運行過時的 NVIDIA GPU顯卡驅動版本的系統的易受攻擊信息。另一方面，提升多個 CVE 缺陷的權限導致攻擊者有可能提升自己的權限，獲取由系統授予的最初權限以外的權限。
CVE-2019-5665
NVIDIA Windows GPU 顯卡驅動中包含 3D 視覺插件中的一個漏洞，立體聲服務軟件在打開文件時并不檢查硬鏈接。此行為可導致代碼執行、拒絕服務或權限提升。
CVE-2019-5666
NVIDIA Windows GPU 顯卡驅動包含內核模式層 (nvlddmkm.sys) 創建上下文命令 DDI DxgkDdiCreateContext中的一個漏洞。產品在計算或使用數組索引時使用不受信任的輸入，但產品未能或錯誤地將索引驗證為確保索引引用數組中的有效位置，可導致拒絕服務或權限提升后果。
CVE-2019-5667
NVIDIA Windows GPU顯卡驅動中包含一個位于DxgkDdiSetRootPageTable的內核模式層（nvlddmkm.sys）處理程序中的一個漏洞，應用程序取消引用它期望有效的但為NULL的指針，可能導致代碼執行、拒絕服務或權限提升。
CVE-2019-5668
NVIDIA Windows GPU顯卡驅動包含一個位于DxgkDdiSubmitCommandVirtual的內核模式層（nvlddmkm.sys）處理程序的一個漏洞，其中應用程序取消引用它期望有效但為NULL的指針，或導致拒絕服務或權限提升。
CVE-2019-5669
NVIDIA Windows GPU顯卡驅動包含位于DxgkDdiEscape的內核模式層處理程序中的一個漏洞，軟件使用順序操作來讀取或寫入緩沖區，但它使用不正確的長度值，導致訪問外部的內存緩沖區的邊界，從而可能導致拒絕服務或權限提升。
CVE-2019-5670
NVIDIA Windows GPU顯卡驅動中包含位于DxgkDdiEscape的內核模式層處理程序的一個漏洞，軟件使用順序操作來讀取或寫入緩沖區，但它使用不正確的長度值，導致它訪問外部的內存緩沖區的邊界可能導致拒絕服務、權限提升、代碼執行或信息泄漏。
CVE-2019-5671
NVIDIA Windows GPU顯卡驅動中包含位于DxgkDdiEscape的內核模式層（nvlddmkm.sys）處理程序的一個漏洞，軟件在其有效生命周期結束后不會釋放資源，從而可能導致拒絕服務。
CVE-2019-6260
NVIDIA圖形驅動程序中包含一個漏洞，可能允許通過GPU性能計數器公開的側通道訪問GPU上處理的應用程序數據。利用該漏洞要求獲得本地用戶訪問權限。該漏洞不是網絡或遠程攻擊向量。
修復建議
這些漏洞已于2019年2月的安全更新中修復。建議所有用戶盡快應用 NVIDIA 驅動下載頁面中的可用安全更新升級驅動：https://www.nvidia.com/Download/index.aspx。
參考鏈接
https://nvidia.custhelp.com/app/answers/detail/a_id/4772
京公網安備11010802024551號