脆弱性の発見者：Piotr Bania（Cisco Talos）
概要
Cisco Talos は本日（3 月 28 日）、Nvidia D3D10 ドライバで確認された複数の脆弱性を公開します。Nvidia D3D10 ドライバは NVIDIA 社の複数の GPU で使用されており、広く普及しています。VMware 内にも組み込まれていますが、そこでは本脆弱性によりゲストからホストへの脱出（guest-to-host escape）を許す危険性があります。修正プログラムを可能な限り早く適用することを強くお勧めします。
TALOS-2018-0514：Nvidia D3D10 ドライバで確認された、ピクセル シェーダに起因するヒープ メモリ破壊の脆弱性（CVE-2018-6251）
NVIDIA D3D10 ドライバ 22.21.13.8607 には、エクスプロイト可能なヒープ メモリ破壊の脆弱性が存在します。細工されたピクセル シェーダによりヒープ メモリが破壊され、少なくともサービス妨害（DoS）攻撃と任意コードの実行を許す危険性があります。本脆弱性は、細工されたシェーダ ファイル（バイナリ形式またはテキスト形式のいずれか）により VMware ゲスト側からエクスプロイト可能です。脆弱性の影響を受けるのは VMware ホストで、VMware のクラッシュまたはゲストからホストへの脱出（guest-to-host escape）を許す危険性があります。
エクスプロイトされる危険性があるのは、Nvidia nvwgf2umx.dll ドライバで不正な形式のピクセル シェーダ（テキスト形式またはバイナリ形式のいずれか）が参照された場合です。攻撃可能なのはローカル マシン（usermode）側または VMware ゲスト usermode（VMware ホスト上でメモリ破壊を引き起こす）側からです。ブラウザで ANGLE が使用されず、細工されたシェーダが該当バージョンの Nvidia ドライバで参照されていれば、理論的には WEBGL（リモート Web サイト）を介した攻撃も可能です。脆弱性に関する詳細はこちら
をご覧ください。
TALOS-2018-0522：Nvidia D3D10 ドライバで確認された、ピクセル シェーダに起因するサービス妨害（DoS）の脆弱性（CVE-2018-6253）
Nvidia D3D10 Driver 22.21.13.8607 には、エクスプロイト可能なサービス妨害（DoS）の脆弱性が存在します。細工されたピクセル シェーダによりスタック オーバーフロー例外が引き起こされ、少なくともサービス妨害（DoS）攻撃を許す危険性があります。本脆弱性は、細工されたシェーダ ファイル（バイナリ形式またはテキスト形式のいずれか）により VMware ゲスト側からエクスプロイト可能です。脆弱性の影響を受けるのは VMware ホストで、vmware-vmx.exe プロセスのクラッシュにつながる可能性があります。
エクスプロイトされる危険性があるのは、Nvidia nvwgf2umx.dll ドライバで不正な形式のピクセル シェーダ（テキスト形式またはバイナリ形式のいずれか）が参照された場合です。攻撃可能なのはローカル マシン（usermode）側または VMware ゲスト usermode（ホスト上の vmware-vmx.exe でメモリ サービス妨害攻撃を引き起こす）側からです。ブラウザで ANGLE が使用されず、細工されたシェーダが該当バージョンの Nvidia ドライバで参照されていれば、理論的には WEBGL（リモート Web サイト）を介した攻撃も可能です。
簡単に説明すると、細工されたシェーダにより、sub_038B150 の関数が再帰呼出し回数またはスタック メモリ境界数を検証せず関数自体を再帰的に呼び出せることが脆弱性を引き起こしています。脆弱性によりスタック メモリが枯渇し、最終的にはサービス妨害（DoS）につながる危険性があります。脆弱性に関する詳細はこちらをご覧ください。
既知の脆弱性バージョン
Windows 10 64 ビット版上の Nvidia nvwgf2umx.dll 22.21.13.8607（x64）
VMware Workstation 14（14.0.0 build-6661328、ゲスト仮想マシンが Windows 10 64 ビット版の場合）
まとめ
各脆弱性は Talos が定めた責任ある開示方針に従って Nvidia 社に開示されており、問題を修正したファームウェアが提供されるよう同社と協力してきました。脆弱性の影響を排除するため D3D10 ドライバをバージョン 391.35 にアップグレードすることをお勧めします。更新版のリリース ノートは、こちらから入手可能です。
カバレッジ
この悪意ある試行は、以下の Snort ルールにより検出可能です。今後、脆弱性に関する新たな情報が追加されるまでの間は、ルールが追加されたり、現行のルールが変更されたりする場合がありますのでご注意ください。最新のルールの詳細については、Firepower Management Center または Snort.org を参照してください。
Snort ルール：45504-5、45602-3
本稿は 2018年3月28日に Talos Group
Authors