Vulnérabilités dans le driver d’affichage et le logiciel de gestion de GPU Nvidia

Plusieurs vulnérabilités critiques ont été corrigées dans le pilote d’affichage du GPU Nvidia sous Windows et Linux ainsi que dans le logiciel de gestion des GPUs virtuels de Nvidia. L'exploitation de ces vulnérabilités peut compromettre l'intégrité, la confidentialité ainsi que la disponibilité des données présentes sur les dispositifs vulnérables.

Nvidia GPU Display Driver

CVE‑2021‑1051[Score CVSS v3 : 8.4] : Le pilote d'affichage GPU NVIDIA pour Windows contient une vulnérabilité dans le gestionnaire de la couche noyau, au niveau du fichier nvlddmkm.sys, pour DxgkDdiEscape. Un attaquant distant et authentifié peut provoquer un déni de service via une manipulation non-spécifiée.

CVE‑2021‑1052 [Score CVSS v3 : 7.8] : Le pilote d'affichage GPU NVIDIA pour Windows et Linux contient une vulnérabilité dans le gestionnaire de la couche noyau, au niveau du fichier nvlddmkm.sys, pour DxgkDdiEscape ou IOCTL. Un attaquant distant et authentifié en tant qu’utilisateur  peut potentiellement accéder à des API privilégiées. Il peut alors être en mesure d’entraîner un déni de service, une élévation des privilèges ou une exposition d'informations.

Nvidia VGPU Software :

CVE‑2021‑1057[Score CVSS v3 : 7.8] : Le gestionnaire de vGPU NVIDIA contient une vulnérabilité dans le plugin vGPU qui peut permettre aux invités d'allouer certaines ressources pour lesquelles ils n'ont normalement pas d'autorisations. Un attaquant authentifié et ayant accès au dispositif vulnérable peut potentiellement entraîner un déni de service et manipuler des données sensibles.

CVE‑2021‑1058[Score CVSS v3 : 7.8] : Le logiciel NVIDIA vGPU contient une vulnérabilité dans le pilote en mode noyau invité et le plugin vGPU. Cette faille provient d’une non-vérification de la taille de certaines données d'entrée non-spécifiées. Un attaquant distant et authentifié peut alors provoquer un déni de service et, potentiellement, injecter du code arbitraire ou avoir accès à des données sensibles.

CVE‑2021‑1059[Score CVSS v3 : 7.8] : Le gestionnaire de vGPU NVIDIA contient une vulnérabilité dans le plugin vGPU. Cette faille provient d’une non-vérification d’un index d'entrée non-spécifié, ce qui peut entraîner un débordement d'entier. Un attaquant distant et authentifié peut alors être en capacité d’altérer des données, de divulguer des informations ou de provoquer un déni de service.

CVE‑2021‑1060[Score CVSS v3 : 7.8] : Le logiciel NVIDIA vGPU contient une vulnérabilité dans le pilote en mode noyau invité et le plugin vGPU. Cette faille provient d’une non-vérification d’un index d'entrée non-spécifié. Un attaquant distant et authentifié peut alors être en capacité d’altérer des données ou de provoquer un déni de service.

CVE‑2021‑1061[Score CVSS v3 : 7.8] : Le gestionnaire NVIDIA vGPU contient une vulnérabilité dans le plugin vGPU. Une condition de course peut entraîner le plugin vGPU à continuer à utiliser une ressource précédemment validée qui a depuis changé. Un attaquant peut exploiter cette faille afin de provoquer un déni de service ou de divulguer des informations sensibles.

CVE‑2021‑1062[Score CVSS v3 : 7.8] : Le gestionnaire de vGPU NVIDIA contient une vulnérabilité dans le plugin vGPU. Cette faille provient d’une non-vérification de la longueur de certaines données d'entrée non-spécifiées. Un attaquant distant et authentifié peut alors être en capacité d’altérer des données ou de provoquer un déni de service.

CVE‑2021‑1063[Score CVSS v3 : 7.8] : Le gestionnaire de vGPU NVIDIA contient une vulnérabilité dans le plugin vGPU, dans lequel un décalage d'entrée n'est pas validé. Son exploitation peut potentiellement provoquer un débordement de la mémoire tampon. Un attaquant local et authentifié peut ainsi être en mesure d’entraîner une altération des données, une divulgation d'informations ou un déni de service.

CVE‑2021‑1064 [Score CVSS v3 : 7.8] : Le gestionnaire de vGPU NVIDIA contient une vulnérabilité dans le plugin vGPU. Cette faille provient d’une non-vérification en entrée des valeurs passées en argument. Ces valeurs sont typiquement changées en un pointeur, qui est ensuite déréférencé. Un attaquant local et authentifié peut éventuellement manipuler une valeur à passer en argument du programme afin de d’avoir accès à des informations sensibles ou de provoquer un déni de service.

CVE‑2021‑1065[Score CVSS v3 : 7.8] : Le gestionnaire de vGPU NVIDIA contient une vulnérabilité dans le plugin vGPU. Cette faille provient d’une non-vérification de la longueur de certaines données d'entrée non-spécifiées. Un attaquant distant et authentifié peut alors être en capacité d’altérer des données ou de provoquer un déni de service.