ASUS va GIGABYTE drayverlarida jiddiy zaifliklar aniqlandi
Ba’zi zaifliklar hali ham tuzatilmagan.
ASUS va GIGABYTE drayverlarida imtiyozlarni oshirish va kodni o’zboshimchalik bilan bajarishga imkon beruvchi zaifliklar aniqlandi. Tadqiqotchilar beshta dasturiy ta’minot mahsulotida yettita zaiflikni aniqladilar va ular uchun eksploitlarni ishlab chiqdilar. Ba’zi zaifliklar hali ham tuzatilmagan. Ta’sirlangan ikkita drayver, GLCKIo va Asusgio, ASUSning Aura Sync yordamchi dasturi (1.07.22 va undan oldingi versiyalari) tomonidan o’rnatiladi. Ushbu drayverlardagi zaifliklar (CVE-2018-18537, CVE-2018-18536 va CVE-2018-18535) mahalliy kodni bajarishga imkon beradi.
SecureAuth tadqiqotchisi Diego Xuarez muammolarni aniqladi. Tadqiqotchi ularni ishlab chiqaruvchiga xabar qildi, ammo Aura Syncning ikkita yangi versiyasi chiqarilgandan so’ng, ikkita zaiflik hali ham tuzatilmagan.
GIGABYTE drayverlari GIGABYTE va AORUS anakartlari va grafik kartalariga kiritilgan. Ushbu drayverlarda aniqlangan zaifliklar tajovuzkorga GIGABYTE App Center (1.05.21 va undan oldingi versiyalari), AORUS Graphics Engine (1.33 va undan oldingi versiyalari), XTREME Engine (1.25 va undan oldingi versiyalari) va OC Guru II (2.08 versiyasi) orqali o’z imtiyozlarini oshirish imkonini beradi.
CVE-2018-19320: Tajovuzkorga tizim ustidan to’liq nazoratni qo’lga kiritishga imkon beradi.
CVE-2018-19322: O’zboshimchalik bilan virtual xotiraga imtiyozsiz o’qish/yozish imkonini beradi.
CVE-2018-19323: O’limning ko’k ekranini yaratishga imkon beradi.
CVE-2018-19321: Xotiraning buzilishi zaifligi tajovuzkorlarga tizimni to’liq nazorat qilish imkonini berishi mumkin.
SecureAuth mutaxassislari GIGABYTE bilan bog’lanishdi, ammo ishlab chiqaruvchi mahsulotlarda hech qanday zaifliklar yo’qligini aytdi.
