AMD parchó silenciosamente cuatro vulnerabilidades con los drivers Adrenalin 20.1.1

Parece que AMD mantuvo ocultas cuatro vulnerabilidades por un tiempo, y fueron silenciosamente parchadas recientemente. Hablamos de las vulnerabilidades CVE-2019-5124, CVE-2019-5146, CVE-2019-5147 y CVE-2019-5183, parchadas en los drivers Radeon Adrenalin 20.1.1.

Las cuatro vulnerabilidades estaban referidas al archivo ATIDXX64.dll, y permitían al atacante realizar una ejecución de código remota o incluso una denegación de servicio. Algo preocupante es que las vulnerabilidades se podían explotar incluso desde una máquina virtual y atacar el sistema host, o desde una página web que utilice WebGL, por lo que en este último caso ni siquiera hace falta descargar un archivo infectado.

Para explotar esta vulnerabilidad, se debe ejecutar código de shaders diseñado especialmente para el ataque, y el compilador de shaders nos dará acceso completo al sistema.

La posibilidad de ejecutar código desde una máquina virtual en el sistema host se debe a que las máquinas virtuales utilizan el compilador de shaders del host, y por lo tanto es en el host donde se explota la vulnerabilidad. Esto fue probado por los investigadores con una máquina virtual de VMWare, y efectivamente tuvieron acceso al host.

El silencio de AMD es curioso, ya que sus usuarios deberían saber que con drivers anteriores tienen la posibilidad de ser atacados. Nvidia siempre aclaró en sus notas de actualización sus parches de vulnerabilidades, y es algo que AMD también debería hacer.

Les recomendamos actualizar los drivers a esta versión, ya que siempre es mejor prevenir que lamentar.

¿Que opinan sobre el ocultismo de AMD sobre sus vulnerabilidades?

Fuente: share post: Like button: