Cabecera-v2-web.jpg

Vulnerabilidades en NVIDIA GPU Display Driver y NVIDIA vGPU Software afectan a Windows y Linux.


NVIDIA ha lanzado una actualización de seguridad de software para NVIDIA® GPU Display Driver y NVIDIA vGPU Software. Esta actualización aborda problemas que pueden conducir a la denegación de servicio, escalada de privilegios, manipulación de datos o divulgación de información, entre otros.

Estas vulnerabilidades han sido identificadas como:

En Windows:

CVE IDs

Software

Sistema Operativo

Driver

Versiones Affectadas

Versión de Driver actualizado


CVE‑2021-1051
CVE‑2021-1052
CVE‑2021-1053
CVE‑2021-1054
CVE‑2021-1055

GeForce

Windows

R460

Todas las versiones anteriores a 461.09

461.09

NVIDIA RTX/Quadro,

NVS

Windows

R460

Todas las versiones anteriores a 461.09

461.09

R450

Todas las versiones anteriores a 452.77

452.77

R390

Todas las versiones anteriores a 392.63

392.63

Tesla

Windows

R460

Todas las versiones anteriores a 461.09

461.09

R450

Todas las versiones anteriores a 452.77

452.77

R418

Todas las versiones anteriores a 427.11

427.11


En Linux:

CVE IDs

Software

Sistema Operativo

Driver

Versiones Affectadas

Versión de Driver actualizado

CVE‑2021-1052

CVE‑2021-1053

CVE‑2021-1056

GeForce

Linux

R460

Todas las versiones anteriores a 460.32.03

460.32.03

R450

Todas las versiones anteriores a 450.102.04

450.102.04

NVIDIA RTX/Quadro,

NVS

Linux

R460

Todas las versiones anteriores a 460.32.03

460.32.03

R450

Todas las versiones anteriores a 450.102.04

450.102.04

R390

Todas las versiones anteriores a 390.141

390.141

Tesla

Linux

R460

Todas las versiones

Disponible en la semana del 18 de enero 2021

R450

Todas las versiones

Disponible en la semana del 18 de enero 2021

R418

Todas las versiones

Disponible en la semana del 18 de enero 2021

NVIDIA vGPU Software:


CVE IDs

vGPU Software Component

Sistema Operativo

Versiones afectadas

Versión actualizada

vGPU Software

Driver

vGPU Software

Driver

CVE‑2021-1058
CVE‑2021-1060

vGPU software

(guest driver)

Windows

Todas las versiones anteriores a 11.3

Todas las versiones anteriores a 452.77

11.3

452.77

Todas las versiones anteriores a 8.6

Todas las versiones anteriores a 427.11

8.6

427.11

vGPU software

(guest driver)

Linux

Todas las versiones anteriores a 11.3

Todas las versiones anteriores a 450.102.04

11.3

450.102.04

Todas las versiones anteriores a 8.6

Todas las versiones anteriores a 418.181.07

8.6

418.181.07

CVE‑2021-1057
CVE‑2021-1058
CVE‑2021-1059
CVE‑2021-1060
CVE‑2021-1061
CVE‑2021-1062
CVE‑2021-1063
CVE‑2021-1064
CVE‑2021-1065
CVE‑2021-1066

vGPU software

(Virtual GPU Manager)

Citrix Hypervisor,

VMware vSphere,

Red Hat Enterprise Linux KVM,

Nutanix AHV

Todas las versiones anteriores a 11.3

Todas las versiones anteriores a 450.102

11.3

450.102

Todas las versiones anteriores a 8.6

Todas las versiones anteriores a 418.181

8.6

418.181


A continuación se detallan aquellas para NVIDIA GPU DISPLAY DRIVER, de criticidad alta:

  • El CVE‑2021-1051, contiene una vulnerabilidad en el controlador de capa de modo kernel (nvlddmkm.sys) para DxgkDdiEscape, en Windows, en el que se realiza una operación que puede provocar la denegación de servicio o la escalada de privilegios.
  • El CVE‑2021-1052, contiene una vulnerabilidad en el controlador de capa de modo kernel (nvlddmkm.sys) para DxgkDdiEscape o IOCTL, en Windows y Linux, en el que los clientes en modo de usuario pueden acceder a APIs con privilegios heredados, lo que puede conducir a la denegación de servicio, escalada de privilegios y divulgación de información.
  • El CVE‑2021-1053, contiene una vulnerabilidad en el controlador de capa de modo kernel (nvlddmkm.sys) para DxgkDdiEscape o IOCTL, en Windows y Linux, en la que la validación incorrecta de un puntero de usuario puede llevar a la denegación de servicio.
  • El CVE‑2021-1054, contiene una vulnerabilidad en el controlador de la capa de modo kernel (nvlddmkm.sys) para DxgkDdiEscape, en Windows, en la que el software no realiza o realiza incorrectamente una verificación de autorización cuando un actor intenta acceder a un recurso o realizar una acción, lo que puede llevar a la denegación de servicio.

A continuación se detallan las vulnerabilidades que afectan a NVIDIA VGPU SOFTWARE, de criticidad alta:

  • El CVE‑2021-1057, contiene una vulnerabilidad en el complemento vGPU en la que permite a los invitados asignar algunos recursos para los cuales el invitado no está autorizado, lo que puede provocar la pérdida de integridad y confidencialidad, la denegación de servicio o la divulgación de información
  • El CVE‑2021-1058, contiene una vulnerabilidad en el controlador del modo de kernel invitado y el complemento vGPU, en el que el tamaño de los datos de entrada no se valida, lo que puede provocar la alteración de los datos o la denegación de servicio.
  • El CVE‑2021-1059, contiene una vulnerabilidad en el complemento vGPU, en la que un índice de entrada no se valida, lo que puede provocar un desbordamiento de enteros, lo que a su vez puede provocar la manipulación de datos, la divulgación de información o la denegación de servicio.
  • El CVE‑2021-1060, contiene una vulnerabilidad en el controlador del modo de kernel invitado y el complemento vGPU, en el que un índice de entrada no se valida, lo que puede provocar la manipulación de datos o la denegación de servicio.
  • El CVE‑2021-1061, contiene una vulnerabilidad en el complemento vGPU, en la que una condición de carrera puede hacer que el complemento vGPU continúe usando un recurso previamente validado que ha cambiado desde entonces, lo que puede llevar a la denegación de servicio o la divulgación de información.
  • El CVE‑2021-1062, contiene una vulnerabilidad en el complemento vGPU, en la que no se valida la longitud de los datos de entrada, lo que puede provocar la alteración de los datos o la denegación de servicio
  • El CVE‑2021-1063, contiene una vulnerabilidad en el complemento vGPU, en la que no se valida un desplazamiento de entrada, lo que puede provocar una lectura excesiva del búfer, que a su vez puede provocar la alteración de los datos, la divulgación de información o la denegación de servicio.
  • El CVE‑2021-1064, contiene una vulnerabilidad en el complemento vGPU, en la que obtiene un valor de una fuente que no es de confianza, convierte este valor en un puntero y elimina las referencias del puntero resultante, lo que puede conducir a la divulgación de información o la denegación de servicio.
  • El CVE‑2021-1065, contiene una vulnerabilidad en el complemento vGPU, en la que los datos de entrada no se validan, lo que puede provocar la alteración de los datos o la denegación de servicio

Recomendaciones de seguridad

Descargue e instale la actualización de software desde la página de descargas de controladores de NVIDIA o, para la actualización de software de vGPU, desde el portal de licencias de NVIDIA.

Referencias


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tecnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11