Rechten-lek in Nvidia Linux-driver
Er is een beveiligingslek in de Linux-driver van Nvidia ontdekt, waardoor een aanvaller zijn rechten op het systeem kan verhogen. Nvidia zou al een maand geleden over de kwetsbaarheid zijn ingelicht, maar gaf geen enkele reactie. Daarop besloot de ontdekker van het lek het probleem te openbaren, inclusief exploit. De onderzoeker die de kwetsbaarheid vond wilde anoniem blijven en vroeg aan Dave Airlie om het voor hem te publiceren.
Airlie werkt voor het Red Hat 'graphics team' en publiceerde details op de Full-disclosure mailinglist. De exploit misbruikt de manier waarop aanpassingen aan het VGA venster worden verwerkt.
Door het venster lang genoeg te verplaatsen is het mogelijk om naar het fysieke geheugen te schrijven, waarna de aanvaller zijn rechten kan verhogen door direct naar het kernelgeheugen te schrijven.
blijkt maar weer hoeveel we op gesloten driver packages kunnen vertrouwen
ben benieuwd in hoeverre windows kwetsbaar is.
wanneer is trouwens de laatste keer dat op dit detailniveau naar windows drivers is gekeken?
Er zit een exploit bij, dus het lijkt me dat het wel werkt, en niet alleen theorie is. Maar je kan het dus ook gewoon zelf uitproberen.
Ik heb geen nvidia hardware, dus ik ga 't niet voor je doen ;)
Is het niet http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-0946 ?
Ik zie het al voor me: allemaal Chinees hardware met allemaal een backdoor. Klinkt professioneel.
WHQL ... Is dat niet dat Maffia-achtige "instituut" van MS waar je voor $$$$$ je brakke drivers kan laten signen?
Laten we dat maar niet naar Linux porten ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
