NVIDIA a publié une mise à jour de sécurité pour une large gamme de modèles de cartes graphiques, corrigeant quatre vulnérabilités de haute gravité et six de gravité moyenne dans ses pilotes de GPU.

Les vulnérabilités en question peuvent conduire à un déni de service, une divulgation d'informations, une élévation de privilèges, une exécution de code, etc.

Les quatre failles corrigées sont les suivantes :

· CVE-2022-28181 (score CVSS v3 : 8,5) - Écriture hors limites dans la couche du mode noyau, pouvant entraîner une exécution de code, un déni de service, une élévation de privilèges, une divulgation d'informations et une altération des données.

· CVE-2022-28182 (score CVSS v3 : 8.5) - Problème dans le pilote en mode utilisateur DirectX11 permettant à un attaquant non autorisé de provoquer un déni de service, une élévation de privilèges, une divulgation d'informations et une altération des données.

· CVE-2022-28183 (score CVSS v3 : 7.7) - Vulnérabilité dans la couche mode noyau, où un utilisateur régulier non privilégié peut provoquer une lecture hors limites, ce qui peut entraîner un déni de service et la divulgation d'informations.

· CVE-2022-28184 (score CVSS v3 : 7.1) - Vulnérabilité dans la couche mode du noyau (nvlddmkm.sys) du gestionnaire pour DxgkDdiEscape, où un utilisateur normal non privilégié peut accéder aux registres privilégiés de l'administrateur, ce qui peut entraîner un déni de service, la divulgation d'informations et la falsification de données.

Ces vulnérabilités nécessitent de faibles privilèges et aucune interaction avec l'utilisateur, de sorte qu'elles pourraient être incorporées dans un logiciel malveillant, permettant aux attaquants d'exécuter des commandes avec des privilèges plus élevés.

Les deux premières sont exploitables sur le réseau, tandis que les deux autres le sont avec un accès local, ce qui pourrait tout de même être utile pour un malware infectant un système avec de faibles privilèges.

Les mises à jour sont disponibles pour les produits logiciels Tesla, RTX/Quadro, NVS, Studio et GeForce, couvrant les branches R450, R470 et R510 des pilotes.

Il est à noter qu'en dehors des gammes de produits actuelles et récentes qui sont activement supportées, la dernière version de NVIDIA couvre également les cartes GTX 600 et GTX 700 de la série Kepler, dont le support s'est terminé en octobre 2021.

Tous les utilisateurs sont invités à appliquer les mises à jour de sécurité publiées dès que possible. Les utilisateurs peuvent télécharger le dernier pilote pour leur modèle de GPU depuis la section centrale de téléchargement de NVIDIA, où ils peuvent sélectionner le produit spécifique et le système d'exploitation qu'ils utilisent.