Nvidia、GeForce Experienceのセキュリティ欠陥を修正

Nvidiaは3月26日にGeForce Experienceアプリを更新し、コード実行、サービス拒否、権限昇格攻撃に対してユーザーを脆弱にしていた重大なセキュリティ欠陥を解決した。

この脆弱性により、GFEがSYSTEMユーザーとしてデータを書き込むログファイルに安全でない権限が設定されていたため、任意のシステムファイルが上書きされる可能性がありました。さらに、あるログファイルにはユーザーが制御できるデータが含まれていたため、コマンドを挿入してバッチファイルとして書き込むことで、他のユーザーによるコード実行や権限昇格につながる可能性がありました。

Rhino Security Labsはまた、この脆弱性は「サービス拒否攻撃の脆弱性と連携して完全な権限昇格を実現する可能性があった」と述べている。これにより、攻撃者は標的のシステムに保存されているすべてのデータに自由にアクセスできる可能性がある。

これは特に懸念すべき点です。なぜなら、GeForce ExperienceはNVIDIAのグラフィックカードを使い始めると自動的にインストールされるからです。このアプリを使えば、ドライバーのアップデートを簡単にインストールできるだけでなく、NVIDIAの他の多くのツールも有効にすることができます。

これらのツールは今回の脆弱性に関連しているようです。Nvidiaはセキュリティアドバイザリの中で、このセキュリティ上の欠陥はShadowPlay、NvContainer、またはGameStreamを有効にしているユーザーにのみ影響すると述べていますが、これら3つすべてがデフォルトで有効になっている可能性があります。 

NVIDIAによると、この脆弱性は、アプリ内蔵のアップデートツールまたはGeForce ExperienceダウンロードページからGeForce Experience 3.18をインストールすることでのみ解決できるとのことです。他に緩和策はなく、この脆弱性はアプリの以前のバージョンすべてに影響します。