 Nous vous informions la semaine dernière de la présence d'une faille de sécurité dans les drivers graphiques NVIDIA des cartes GeForce, Quadro, NVS et GRID.
Cette vulnérabilité étant visiblement présente dans les drivers NVIDIA pour Windows depuis plusieurs années, cela explique pourquoi, l'ensemble des branches de drivers encore un tant soit peu maintenues aient bénéficié d'un correctif. Citons bien sûr la version 347.52 (R346), dernière version WHQL en date pleinement supportée, mais aussi les branches plus anciennes R304, R340 et R343 pour lesquelles les drivers 309.08, 341.44 et 345.20 ont respectivement été mis en ligne.
Risque d'usurpation d'identité avec la faille CVE-2015-1170
Nous en apprenons aujourd'hui un peu plus sur cette faille de sécurité de la part de NVIDIA. Tout d'abord, celle-ci s'est vue attribuer l'identifiant CVE-2015-1170 et a été déclarée à la mi-janvier 2015. Elle a été découverte par l'expert en sécurité James Forshaw dans le cadre du programme Project Zero de Google.
Selon NVIDIA, la vulnérabilité se situe dans le pilote graphique lui-même à savoir les fichiers nvlddmkm.sys pour les systèmes Windows NT 6.x et nv4_mini.sys pour Windows NT 5.x. L'exploit de cette faille permet d'effectuer une usurpation d'identité et par la même occasion une élévation de privilèges. Un utilisateur de la machine locale ou un programme malveillant installé à l'insu de l'utilisateur légitime peut en effet obtenir les droits administrateur en exploitant les fonctionnalités "d'impersonation" dans l'API du pilote. Le système et ses données peuvent dès lors être corrompus.
NVIDIA ne se hasarde pas à qualifier le niveau de dangerosité de cette faille et se contente d'indiquer son score de base CVSS qui est de 6,6 sur une échelle allant de 0 à 10 ce qui correspond généralement à un risque modéré. Quoi qu'il en soit, il est plus que recommandé de mettre à jour les drivers graphiques NVIDIA dès que possible à moins d'utiliser Windows 8.x ou Linux qui ne sont pas concernés. Les liens vers les versions corrigées sont proposés en bas de cette page.
Certaines configurations Windows XP resteront vulnérables
NVIDIA confirme en effet que cette faille CVE-2015-1170 ne concerne pas les systèmes d'expoitation Windows 8, 8.1 et 10 ni leurs éditions serveur Windows Server 2012/2012 R2 mais "seulement" les éditions listées ci-dessous.
- Windows XP
- Windows Vista
- Windows 7
- Windows Server 2003
- Windows Server 2008
- Windows Server 2008 R2
Par ailleurs, si les drivers 347.52 contenant ce correctif ont bien déjà été publiés pour Windows XP et les GPU récents à savoir les GeForce 400 et supérieurs (Fermi, Kepler, Maxwell), il n'en est absolument rien pour les drivers et GPU d'ancienne génération qualifiés de legacy comme les séries GeForce 6, 7, 8, 9, 100, 200 et 300 (microarchitecture Tesla). Le système Windows XP n'étant plus supporté par Microsoft, NVIDIA estime en effet, à juste titre, que ce dernier contient énormément d'autres vulnérabilités et qu'il n'est donc plus utile de lui proposer des mises à jour de sécurité. Les pilotes des branches R304, R340 et R343 ne seront donc pas mis à jour pour Windows XP.
Si vous possédez une vieille carte graphique NVIDIA sur un ordinateur Windows XP, vous ne pouvez donc maintenant pas ignorer ce nouveau risque à condition d'avoir lu ces quelques lignes bien sûr...
Drivers NVIDIA GeForce 309.08 WHQL pour GeForce 6/7
Drivers NVIDIA GeForce 341.44 WHQL pour GeForce 8/9/100/200/300 desktop et notebook
Drivers NVIDIA GeForce 345.20 WHQL pour GeForce 400/500/600/700/800/900 desktop et notebook
Drivers NVIDIA GeForce 347.52 WHQL pour GeForce 400/500/600/700/800/900 desktop et notebook
Pour les cartes graphiques professionnelles Quadro, NVS et GRID, les pilotes actualisés sont disponibles sur la fiche de NVIDIA.
|
Modérateur TLD
|
|
Actualités
25/04/24 Crucial publie l'ISO du firmware M3CR046 pour certains SSD Crucial MX500
25/04/24 Intel Arc Graphics 101.5445 WHQL
25/04/24 Fujifilm X100VI 1.10
24/04/24 Thermalright Core Vision/Frozen Warframe 1.2.4
24/04/24 Crucial MX500 CD/USB M3CR04x M3CR046
24/04/24 Pioneer DJ DJM-A9 1.04
