这是我们从未在摘要格式中讨论的内容，这些是视频卡驱动程序中的漏洞。 NVIDIA在2月28日发布了有关八个漏洞的
信息 ：几乎所有漏洞都允许特权提升或任意代码执行。 一个缺陷与当今对第三方通道的流行攻击类型有关，即通过简单的驱动程序更新来“关闭”此类问题这一事实本身就值得注意。
视频卡驱动程序中的问题似乎使信息安全界感到惊讶：实际上，我们仅处理制造商提供的信息，并且尚不清楚这些漏洞如何应用于实际攻击。 无论如何，建议将驱动程序更新为最新版本-对于GeForce显卡，这是419.17。 另外，可在类似Unix的系统上为驱动程序提供更新-仅在此处关闭了旁通道漏洞。
长期以来，数百兆的驱动程序包没人感到惊讶。 在NVIDIA的情况下，它是用于处理视频卡，确保游戏兼容性，支持虚拟现实设备，流功能等的一整套程序。 最新的驱动程序版本（带有补丁程序）重于500兆字节。 但是，NVIDIA服务和其他软件仅负责八个漏洞中的一个，其余所有漏洞都在系统部分中找到。
唯一的例外是用于处理三维视频的软件，从理论上讲，在打开“准备好的”文件时，可以执行任意代码，提高特权或拒绝提供服务。
六个漏洞以一种或另一种方式导致DoS，特权提升，在两种情况下导致任意代码执行。 没有关于如何在实践中实施这种攻击的数据，但是可以假定，最坏的情况是例如可以通过使用视频加速器的浏览器在视频驱动程序中引起漏洞。
最后，从理论上讲，另一个缺陷允许对第三方渠道的攻击。 根据
CVSS V3评估方法，危险级别非常低，必须在本地执行攻击，不可能远程利用该漏洞。 加利福尼亚大学河滨分校
的专家于2018年11月
描述了此漏洞及其利用场景。
该研究论文提供了一些通过第三方渠道进行实际攻击的示例，并且在每种情况下，攻击者都可以访问使用视频卡资源执行的处理信息。 但是在此之前，专家会根据视频卡的范围确定三种一般的攻击类别：
最明显的选择是使用OpenGL应用程序攻击另一个使用相同软件界面访问视频卡的应用程序。 此方法仅在台式计算机上使用。 但是从理论上讲，您也可以攻击使用图形卡进行计算的应用程序。 整个领域更“有趣”，因为它影响服务器基础结构。
实际攻击的一个示例：第三方应用程序测量访问视频卡时的延迟，并接收有关被攻击的应用程序（在本例中为浏览器）中已分配内存量的信息。 由于网站以不同的方式使用视频存储器，因此可以动态分析此信息，从而有可能确定用户正在访问哪个网站。 在下面的示例中，开发此想法是为了确定用户何时在特定网站上输入密码。 密码本身将无法截获，但从理论上讲，有关此操作的执行信息对攻击者来说具有价值。
使用CUDA SDK对应用程序进行的攻击使研究人员可以恢复神经网络的参数-神经网络开发人员通常会试图对此保密。 研究人员指出，可以通过修改API来减少信息泄漏的信息内容，这显然是在更新Windows，Linux和BSD系统的驱动程序时完成的。
如果有更简单的方法来窃取用户数据并获得系统控制权，那么对系统软件和设备实用程序的攻击就不会构成严重的危险。 通过第三方渠道进行攻击的可能性甚至更低，但是从理论上讲，访问私有数据的能力值得关注-例如，在使用视频卡资源进行加密时。 在NVIDIA驱动程序的上下文中，值得关注对较旧设备的支持。 开发人员认为过时的NVIDIA视频卡列表在
此处 ，但更容易查看哪些驱动程序提供了最新的驱动程序版本，其中涵盖了最近的漏洞。 事实证明，所有以GeForce 6XX开头的视频卡均受支持。 该系列于2012年发布，根据制造商的信息判断，对她来说这是最后一个补丁。 不是最意外的消息，而是即使制造商使用现代软件，制造商也不再在软件级别上支持旧硬件，这可能会给系统增加漏洞。
免责声明：本摘要中表达的观点可能并不总是与卡巴斯基实验室的官方立场相符。 亲爱的编辑们通常建议以健康的怀疑态度对待任何观点。