NVIDIA hat neue Versionen der Windows-Ausgabe seines GPU Display Drivers für Geforce, Quadro/NVS und Tesla bereitgestellt, die zwei Sicherheitslücken beseitigen. Drei weitere Lücken hat der Hersteller aus Virtual-GPU-(vGPU)-Software-Komponenten für Windows, Linux und für diverse Virtualisierungslösungen (Citrix Hypervisor, VMware vSphere, Red Hat Enterprise Linux KVM und Nutanix AHV) eliminiert.
Von zweien der fünf Lücken (CVE‑2020‑5957 und CVE‑2020‑5959) geht laut NVIDIAs Security Bulletin ein hohes Risiko aus: Ihnen sind CVSS-v3-Scores von 8.4 beziehungsweise 7.8 zugeordnet. Obwohl sie, wie auch die übrigen Lücken (CVE‑2020‑5958, CVE‑2020‑5960 und CVE‑2020‑5961), nicht aus der Ferne missbraucht werden können, sondern lokalen Systemzugriff erfordern, rät der Hersteller, die Updates zum Schutz des Systems einzuspielen.
Mögliche Konsequenzen eines Angriffs wären laut NVIDIA in erster Linie Denial-of-Service-Zustände, aber auch die Ausweitung von Zugriffsrechten, die unerlaubte Ausführung von Programmcode und der Zugriff auf (nicht näher bezeichnete) Informationen.
Lücken-Details und Updates
Weitere Details zu den Lücken sowie zu den jeweils verwundbaren und gefixten Treiber-Versionen sind NVIDIAs Security Bulletin zu entnehmen. Die Treiber-Updates können von NVIDIAs Treiber-Download-Site heruntergeladen werden. Die Aktualisierungen für die vGPU Software gibt es (nach erfolgtem Login) im NVIDIA Licensing Center.
Wer unsicher ist, welche Display-Treiberversionen sich derzeit auf seinem System befinden, kann dies mittels einer von NVIDIA bereitgestellten Anleitung herausfinden.
Update 02.03.2020, 12:58:
Wie ein Leser im Forum richtig angemerkt hat, sind einige Updates laut Security Bulletin erst für kommende Woche, andere gar für April geplant. Betroffene Nutzer sollten dementsprechend Ausschau nach Aktualisierungen der Tabelle im Bulletin halten. Danke für den Hinweis.
- NVIDIA-Themenseite bei heise online
Quelle: NVIDIA schließt Lücken in GPU-Treiber und vGPU-Software | heise online