Одна из ликвидированных в драйверах для суперкомпьютеров Nvidia Jetson TX уязвимостей допускала запуск произвольного кода, но только при наличии локального доступа. В Nvidia оценили риск как высокий, но признали, что все зависит от конкретной сборки.

Два десятка уязвимостей

Компания Nvidia опубликовала обновления для ОС Linuxfor Tegra, на базе которой работают ее одномодульные суперкомпьютеры Jetson TX1 и TX2. Уязвимости в наборах драйверов для этих компьютеров позволяли повышать привилегии в системе, вызывать сбои и выводить информацию.

Jetson TX1 и TX2 — специализированные встраиваемые компьютеры, предназначенные для использования в решениях, связанных с искусственным интеллектом и машинным обучением.

Патч исправляет в общей сложности 21 уязвимость, но только четыре из них получили индекс угрозы выше 8.0.

Самая серьезная — CVE-2018-6269 — содержится в модуле управления вводом-выводом (IOCTL). Ошибка позволяет потенциальному злоумышленнику повышать привилегии, выводить систему из строя (DoS), а также получать несанкционированный доступ к информации о системе и даже запускать произвольный код — при условии локального доступа к системе.

Три другие уязвимости — CVE-2017-6278, CVE-2018-6267 и CVE-2018-6271 — содержатся в разных модулях ядра Tegra, но в случае успешной эксплуатации дают примерно одни и те же результаты: повышение привилегий или вывод системы из работоспособного состояния.

Риски могут разниться

В Nvidia признали, что оценка риска производилась, исходя из вероятной «среднестатистической» сборки, и что в каждом конкретном случае уровень риска может быть разным, так что владельцам систем рекомендовано обратиться к специалистам по ИТ-безопасности для адекватной оценки вероятной угрозы.

«Вне зависимости от степени угрозы, системы надо обновлять как можно скорее, — считает Антон Медведев, эксперт по информационной безопасности компании SECConsultServices. — Вне зависимости от того, насколько серьезную угрозу представляют выявленные уязвимости для каждой конкретной конфигурации, ошибки есть ошибки, и если есть возможность их оперативно устранить, это следует сделать».

Источник: cnews.ru