Des failles de sécurité découvertes sur les GPU Nvidia GeForce : mettez à jour vos pilotes au plus vite

• NVIDIA avertit actuellement tous les propriétaires de GPU GeForce qu’ils doivent télécharger dès maintenant la dernière mise à jour des pilotes
• Selon l’avis de sécurité de Nvidia, plusieurs vulnérabilités nécessitant une attention urgente ont été découvertes dans ses pilotes d’affichage et d’autres logiciels
• Il y a au total 8 vulnérabilités, toutes classées avec un niveau de gravité « élevé »
• Portée des failles de sécurité
  • Selon Nvidia, un attaquant pourrait exploiter ces vulnérabilités pour obtenir un accès complet au système
  • Grâce à cet accès, un pirate peut introduire et exécuter du code malveillant sur le PC, ainsi que lire et voler des données personnelles
  • Les logiciels GeForce, Nvidia RTX, Quadro, NVS et Tesla sont concernés, à la fois sous Windows et sous Linux
  • Nvidia n’a pas précisé clairement si ces vulnérabilités sont déjà activement exploitées, mais comme toutes les cartes graphiques GeForce sont touchées, il pourrait s’agir d’un problème de grande ampleur
• Mesures urgentes pour les utilisateurs de GeForce
  • Pour corriger ces vulnérabilités, il faut installer les pilotes Nvidia GeForce version 566.03 pour Windows, ainsi que les versions 565.57.01, 550.127.05 et 535.216.01 pour Linux
  • Certains distributeurs proposent les mises à jour de sécurité dans les versions 565.92, 561.03, 556.35 et 553.05
  • Pour Nvidia RTX, Quadro et NVS, il faut mettre à jour vers les versions 566.03, 553.24 et 538.95 afin de corriger les problèmes de sécurité
  • Il est possible d’utiliser l’outil de recherche manuelle de pilotes de Nvidia pour trouver la mise à jour appropriée et la télécharger directement
  • Les derniers pilotes sont également disponibles via les applications Nvidia App et GeForce Experience

[GN⁺]

Avis Hacker News

• La vulnérabilité du pilote d’affichage GPU de NVIDIA peut permettre une élévation de privilèges

  • Un « attaquant privilégié » peut désigner un utilisateur disposant déjà des droits root sur Linux
  • Cette vulnérabilité ne peut être exploitée qu’à partir de code déjà en cours d’exécution
  • Sur un système à utilisateur unique, ce n’est pas un problème majeur

• Utilisateurs devant effectuer la mise à jour :

  • systèmes multi-utilisateurs avec des utilisateurs non fiables
  • utilisateurs de systèmes déjà infectés par un malware
  • hôtes de virtualisation hébergeant des invités non fiables

• Le problème vient du pilote, pas du GPU physique

• Sur le site des pilotes NVIDIA, la version vulnérable 565.90 est toujours proposée comme « version stable »

  • seule la version gamer a été mise à jour vers 566.03

• Sur Debian, aucune mise à jour n’est encore disponible

  • la vulnérabilité est marquée comme « priorité faible » sur Bookworm

• Des informations connexes sont disponibles sur la page de sécurité de NVIDIA

• La méfiance et l’insatisfaction envers l’installateur dkms augmentent

• GeForce Experience exige une connexion à un compte et rencontre des problèmes de persistance de session

  • certains trouvent frustrant de devoir subir cela après avoir payé aussi cher leur carte graphique

• La plupart des problèmes sont liés à des corruptions mémoire, ce qui peut arriver dans du code C et C++

• Les inconvénients du quasi-monopole des GPU deviennent visibles