Saludos nuevamente.
Bueno, sigo con las malas noticias, esta es otra que tiene que ver con vulnerabilidades en drivers de las tarjetas gráficas nVidia:
Diversas vulnerabilidades en drivers de NVIDIA
jueves, 19 de noviembre de 2015
NVIDIA ha publicado tres avisos de seguridad para solucionar otras tantas vulnerabilidades en sus controladores gráficos que podría permitir provocar condiciones de denegación de servicio, obtener información sensible o elevar privilegios en los sistemas afectados.
El primero de los problemas (con CVE-2015-7865) reside en el servicio Vision 3D «nvSCPAPISvr.exe«, instalado como parte del controlador 3D Vision en entornos Windows, debido a la creación de una tubería nombrada sin los controles de acceso adecuados. Un usuario local podrá lograr la ejecución de comandos arbitrarios con los privilegios de otro usuario.
Un segundo problema, con CVE-2015-7866, afecta al Panel de Control del Driver NVIDIA en Windows («nvSmartMaxApp.exe«) hace uso de una ruta sin comillas al lanzar hilos de procesos. Si un atacante local puede situar programas en localizaciones adecuadas, podría lograr la ejecución de código arbitrario durante el inicio de Windows y conseguir elevar sus privilegios.
Un último aviso (con CVE-2015-7869) en el que se recoge una vulnerabilidad en la capa de soporte NVAPI de los controladores gráficos GPU NVIDIA. La capa de soporte NVAPI es una capa API exportada para soportar funcionalidades aumentadas del sistema a aplicaciones. También se alerta de un desbordamiento de entero en el controlador de modo kernel subyacente. La vulnerabilidad en la capa NVAPI solo afecta a los controladores para Windows, mientras que los problemas de desbordamiento de entero se dan en drivers Windows y Linux.
NVIDIA ha publicado varias actualizaciones de los controladores que solucionan estos errores. Se encuentran disponibles para su descarga desde la página oficial de NVIDIA y son las siguientes:
Para Windows versiones 358.87, 354.35 y 341.92.
Para Linux versiones 358.16, 352.63, 340.96 y 304.131.
Más información:
CVE-2015-7865: Stereoscopic 3D Driver service arbitrary run key creation
CVE-2015-7866: NVIDIA Control Panel unquoted path
http://nvidia.custhelp.com/app/answers/detail/a_id/3806/kw/security
CVE-2015-7869: Unsanitized User Mode Input
http://nvidia.custhelp.com/app/answers/detail/a_id/3808/kw/security
Antonio Ropero
Twitter:@aropero
