Les vulnérabilités du SoC NVidia Jetson exposent les appareils au vol de données

Vendredi dernier, le fabricant de puces NVidia a publié des correctifs corrigeant une série de vulnérabilités et de bogues dans le cadre du système sur puce (SoC) Jetson de la société.

La société publie un bulletin de sécurité le 18 avril, publiant les détails complets de toutes les vulnérabilités et bogues corrigés concernés par les correctifs. Parmi ceux-ci se trouvaient neuf vulnérabilités graves et huit autres bogues qui n'avaient pas un impact aussi élevé sur la sécurité.

Les vulnérabilités ont permis à des acteurs malveillants potentiels d'exécuter des attaques par déni de service ou d'exfiltrer des informations des appareils.

Le SoC Jetson se trouve généralement dans les appareils IoT, les robots et les drones ainsi que dans divers systèmes embarqués avec différentes applications. La liste des produits de la famille Jetson concernés pour lesquels ces problèmes ont maintenant été corrigés comprend les AGX Xavier, Xavier NX, TX1 et TX2 ainsi que le Jetson Nano.

Le bulletin met en évidence une vulnérabilité codifiée comme CVE-2021-34372 comme étant la plus grave. Il a permis à des acteurs malveillants d'exécuter une attaque de débordement de tampon sur l'appareil exécutant le SoC Jetson. Même si le pirate informatique aurait besoin d'un accès réseau au système victime pour exécuter l'attaque, le piratage lui-même n'est pas très difficile à réaliser.

De plus, un système compromis à l'aide de cette technique de débordement de tampon serait davantage exposé à un certain nombre de menaces croissantes, notamment le déni de service, la divulgation d'informations et le mauvais acteur obtenant des privilèges élevés sur l'appareil.

Parmi les vulnérabilités graves restantes traitées, six autres permettraient également au mauvais acteur effectuant l'attaque d'exécuter une attaque par déni de service. Un certain nombre d'autres vulnérabilités et bogues étaient liés à la gestion de la mémoire et des tampons de requête sur les appareils et pouvaient principalement conduire à un déni de service partiel ou complet.

Le reste des vulnérabilités de niveau de menace élevé sont suivis comme CVE-2021-34373 à CVE-2021-34380.

La bonne nouvelle est que la mise à jour logicielle est publiée et que les propriétaires de systèmes et de périphériques exécutant le matériel Jetson SoC doivent les mettre à jour dès que possible.