NVIDIA har frigivet en sikkerhedsopdatering til GeForce NOW cloud gaming service-Windows-appen for at løse en sårbarhed, der kunne give angribere mulighed for at eksekvere vilkårlig kode eller eskalere privilegier på systemer, der benytter sig af software, der ikke er patchet.
GeForce Now er en cloud-baseret spilstreamingtjeneste, der giver brugere over 80 lande med betalte abonnementer mulighed for at streame free-to-play eller spil, de ejer, i realtime fra et bibliotek med hundredvis af titler, der er hostet på NVIDIA’s servere.
NVIDIA’s cloud gaming service kan bruges af kunder, der ejer NVIDIA Shield, desktop (macOS, Microsoft Windows og ChromeOS) eller mobile (Android) enheder via dedikerede apps.
Fejl med høj sværhedsgrad rettet i Windows-appen
NVIDIA har rettet en sårbarhed med høj sværhedsgrad (CVE-2020-5992) i alle versioner af Windows GeForce Now-appen før 2.0.25.119.
Sårbarheden blev rapporteret af Qihoo 360 CERTs Hou JingYi, og den blev fundet i OpenSSL-biblioteket, en af GeForce Now's open-source software-nødvendigheder.
Mens denne fejl kræver, at angribere har lokal brugeradgang, og den således ikke kan udnyttes eksternt, kan den stadig misbruges ved hjælp af specielle værktøjer, der er implementeret på systemer, der kører sårbare app-versioner, som NVIDIA forklarer i en security advisory.
CVE‑2020‑5992:
NVIDIA GeForce NOW application software on Windows contains a vulnerability in its open-source software dependency in which the OpenSSL library is vulnerable to binary planting attacks by a local user, which may lead to code execution or escalation of privileges.
- NVIDIA
Angreb, der udnytter denne fejl, er af lav kompleksitet og kræver lave privilegier, der giver grundlæggende brugerfunktioner.
Heldigvis har alle angreb, der er designet til at udnytte CVE-2020-5992-sårbarheden, også brug for brugerinteraktion for at noteret som en vellykket udnyttelse.
NVIDIA fortæller, at "risk assessment is based on an average of risk across a diverse set of installed systems and may not represent the true risk of your local installation."
Anvendelse af GeForce Now sikkerhedsopdateringen
For at anvende sikkerhedsopdateringen og beskytte dit system skal du åbne Windows GeForce Now-appen for at få den automatisk downloadet og derefter følge instruktionerne for at installere opdateringen (appen kræver administratorrettigheder for at opdatere sig selv).
Hvis du ikke kan køre appen som administrator, kan du også opdatere den manuelt ved at fjerne den ved hjælp af disse instruktioner og derefter installere den nyeste softwareversion (dvs. 2.0.25.119).
I oktober løste NVIDIA også sikkerhedsproblemer noteret med høj sværhedsgrad i Windows NVIDIA GeForce Experience (GFE) appen, der kunne give angribere adgang til følsomme oplysninger, udløse en Denial of Service (DoS), eskalere privilegier eller eksekvere vilkårlig kode på sårbare systemer.
Source & Image credit:
NVIDIA