【漏洞通告】NVIDIA多個安全漏洞
發布時間 2021-01-110x00 漏洞概述
NVIDIA是GPU(圖形處理器)的發明者,也是人工智能計算的引領者。
2021年01月07日，NVIDIA發布了多個安全更新，本次更新修復了NVIDIA GPU顯示驅動程序中的6個安全漏洞和vGPU管理軟件中的10個安全漏洞，這些漏洞會影響Windows和Linux系統，最終導致拒絕服務、權限提升、數據篡改或信息泄露。
0x01 漏洞詳情
本次共發布的16個安全漏洞中，其中有11個評級為高危，如下：
CVE ID | 描述 | 基本分數 | 產品 |
CVE?2021?1051 | 用于Windows的NVIDIA GPU顯示驅動 | 8.4 | NVIDIA GPU |
CVE?2021?1052 | 適用于Windows和Linux的NVIDIA GPU顯示驅動 | 7.8 | NVIDIA GPU |
CVE?2021?1053 | 適用于Windows和Linux的NVIDIA GPU顯示驅動 | 6.6 | NVIDIA GPU |
CVE?2021?1054 | 適用于Windows的NVIDIA GPU顯示驅動 | 6.5 | NVIDIA GPU |
CVE?2021?1055 | 適用于Windows的NVIDIA GPU顯示驅動 | 5.3 | NVIDIA GPU |
CVE?2021?1056 | 用于Linux的NVIDIA GPU顯示驅動程序在內核模式層（ | 5.3 | NVIDIA GPU |
CVE?2021?1057 | NVIDIA vGPU管理器在vGPU插件中包含一個漏洞，該漏洞使訪客可以分配一些未經訪客授權的資源，這可能導致完整性和機密性丟失、拒絕服務或信息泄露。 | 7.8 | NVIDIA VGPU |
CVE?2021?1058 | NVIDIA vGPU軟件在來賓內核模式驅動程序和vGPU插件中包含一個漏洞，在該漏洞中，未驗證輸入數據大小，這可能會導致數據篡改或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1059 | NVIDIA vGPU管理器在vGPU插件中包含一個漏洞，該漏洞中的輸入索引未經驗證，這可能導致整數溢出，進而可能導致數據篡改、信息泄露或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1060 | NVIDIA vGPU軟件在來賓內核模式驅動程序和vGPU插件中包含一個漏洞，該漏洞中的輸入索引未經驗證，這可能導致數據篡改或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1061 | NVIDIA vGPU管理器在vGPU插件中包含一個漏洞，在這種情況下，競爭狀況可能導致vGPU插件繼續使用之前經過驗證的，已更改的資源，從而可能導致拒絕服務或信息泄露。 | 7.8 | NVIDIA VGPU |
CVE?2021?1062 | NVIDIA vGPU管理器在vGPU插件中包含一個漏洞，該漏洞中的輸入數據長度未經驗證，這可能導致數據篡改或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1063 | NVIDIA vGPU管理器在vGPU插件中包含一個漏洞，該漏洞中的輸入偏移未經過驗證，這可能導致緩沖區溢出，進而導致數據篡改、信息泄露或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1064 | NVIDIA vGPU管理器在vGPU插件中包含一個漏洞，其中該漏洞從不受信任的來源獲取值，將該值轉換為指針，然后取消對結果指針的引用，這可能導致信息泄露或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1065 | NVIDIA vGPU Manager在vGPU插件中包含一個漏洞，該漏洞中的輸入數據未經驗證，這可能會導致數據篡改或拒絕服務。 | 7.8 | NVIDIA VGPU |
CVE?2021?1066 | NVIDIA vGPU Manager在vGPU插件中包含一個漏洞，該漏洞中的輸入數據未經驗證，這可能導致資源意外消耗，進而導致拒絕服務。 | 5.5 | NVIDIA VGPU |
0x02 處置建議
目前，NVIDIA已經修復了部分漏洞，建議參考下表及時更新。
NVIDIA GPU：
已修復的CVE ID | 軟件產品 | 操作系統 | Driver Branch | 受影響的版本 | 修復版本 |
CVE?2021?1051 | GeForce | Windows | R460 | 461.09之前的所有版本 | 461.09 |
NVIDIA RTX / Quadro、NVS | Windows | R460 | 461.09之前的所有版本 | 461.09 | |
R450 | 452.77之前的所有版本 | 452.77 | |||
R390 | 392.63之前的所有版本 | 392.63 | |||
Tesla | Windows | R460 | 461.09之前的所有版本 | 461.09 | |
R450 | 452.77之前的所有版本 | 452.77 | |||
R418 | 427.11之前的所有版本 | 427.11 |
已修復的CVE ID | 軟件產品 | 操作系統 | Driver Branch | 受影響的版本 | 修復版本 |
CVE?2021?1052 | GeForce | Linux | R460 | 460.32.03之前的所有版本 | 460.32.03 |
R450 | 450.102.04之前的所有版本 | 450.102.04 | |||
NVIDIA RTX / Quadro、NVS | Linux | R460 | 460.32.03之前的所有版本 | 460.32.03 | |
R450 | 450.102.04之前的所有版本 | 450.102.04 | |||
R390 | 390.141之前的所有版本 | 390.141 | |||
Tesla | Linux | R460 | 所有版本 | 2021年1月18日發布 | |
R450 | 所有版本 | 2021年1月18日發布 | |||
R418 | 所有版本 | 2021年1月18日發布 |
NVIDIA vGPU：
已修復CVE ID | vGPU組件 | 操作系統 | 受影響版本 | 修復版本 | |||
vGPU軟件 | Driver | vGPU軟件 | Driver | ||||
CVE?2021?1058 | vGPU軟件（訪客驅動程序） | Windows | 11.3之前的所有版本 | 452.77之前的所有版本 | 11.3 | 452.77 | |
8.6之前的所有版本 | 427.11之前的所有版本 | 8.6 | 427.11 | ||||
vGPU軟件（訪客驅動程序） | Linux | 11.3之前的所有版本 | 450.102.04之前的所有版本 | 11.3 | 450.102.04 | ||
8.6之前的所有版本 | 418.181.07之前的所有版本 | 8.6 | 418.181.07 | ||||
CVE?2021?1057 | vGPU軟件（虛擬GPU管理器） | Citrix Hypervisor，VMware vSphere，紅帽企業Linux KVM、Nutanix AHV | 11.3之前的所有版本 | 450.102之前的所有版本 | 11.3 | 450.102 | |
8.6之前的所有版本 | 418.181之前的所有版本 | 8.6 | 418.181 | ||||
0x03 參考鏈接
https://nvidia.custhelp.com/app/answers/detail/a_id/5142/kw/Security%20Bulletin
https://www.bleepingcomputer.com/news/security/nvidia-fixes-high-severity-flaws-affecting-windows-linux-devices/
0x04 時間線
2021-01-07 NVIDIA發布安全更新
2021-01-11 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號