Nvidia tropieza nuevamente con serias vulnerabilidades de seguridad en las líneas de GPU
Justo este mes, Nvidia publicó un boletín de seguridad en su sitio alertando a los consumidores de que las GPU en sus líneas de productos GeForce, Quadro y Tesla se vieron afectadas por vulnerabilidades graves. Las vulnerabilidades varían en gravedad, pero se vuelven tan peligrosas como la ejecución de código local y la escalada de privilegios, y se pueden encontrar en todas las versiones de numerosas pistas de controladores que la compañía proporciona para su hardware.
En particular, esto incluye la línea R430 que alimenta las GPU GeForce. Si bien Nvidia ha publicado nuevas versiones parcheadas de todos sus GeForce y muchos de sus controladores Quadro, los parches para algunos de sus controladores Quadro y Tesla no se han lanzado, y en algunos casos no estarán listos durante dos semanas.
La revelación de estas importantes fallas de seguridad llega en un momento excepcionalmente incómodo para el fabricante de GPU, ya que acaba de lanzar su línea de tarjetas gráficas GeForce RTX Super para capitalizar la emoción de los juegos posteriores al E3. Teniendo en cuenta que la preocupación por las vulnerabilidades de escalada de privilegios locales a menudo se toma menos en serio que las vulnerabilidades de ejecución de código remoto más amenazantes debido al vector de ataque comparativamente limitado, los jugadores pueden no pensar en descargar e instalar un parche en su Super GPU RTX recién comprada.
Estos agujeros de seguridad también coinciden con una reciente demostración decepcionante contra AMD. Después de que AMD engañó exitosamente a Nvidia para sabotear su propia versión RTX Super con un precio menos que competitivo, comercializar nuevas GPU brillantes con vulnerabilidades de alta severidad desde el principio seguramente se siente como obtener sal en su herida.
Una gracia salvadora para Nvidia es que algunos fabricantes de hardware pueden agrupar la actualización del controlador como parte de actualizaciones más grandes del sistema, pero los usuarios definitivamente no deberían contar con esto.
Tal como están las cosas actualmente, un error de ejecución de código local combinado con un error de ejecución de privilegios puede dejar dispositivos sin parches abiertos a ataques físicos en los que un actor malicioso obtiene acceso físico a un dispositivo para otorgarse privilegios de administrador y ejecutar código arbitrario. Este tipo de ataque no está fuera de discusión, ya que muchos de los dispositivos que contienen tarjetas gráficas Nvidia vulnerables son utilizados por creativos que pueden o no tener modelos de seguridad robustos, o pueden estar usando dispositivos de acceso público como los de bibliotecas o salones de juegos. En cualquier caso, cualquier consumidor con hardware afectado debe descargar y ejecutar los instaladores de parches que Nvidia ha proporcionado (o pronto proporcionará, para aquellos que aún no están disponibles) lo antes posible.