華碩與技嘉的驅動程式遭爆含有權限擴張漏洞

資安業者SecureAuth旗下的研究單位SecureAuth Labs周二（12/18）揭露了華碩與技嘉的驅動程式中含有多個涉及權限擴張的安全漏洞，允許非特權的使用者發布系統呼叫，成功開採將可於本地端執行任意程式。

SecureAuth Labs指出，由ASUS Aura Sync所安裝的GLCKIo與Asusgio驅動程式中含有3個安全漏洞，將允許本地端駭客擴張權限並執行任意程式。

ASUS Aura為一可用來控制裝置上彩色LED的軟體，這些裝置主要為電競專用的顯示器、主機板、顯示卡、鍵盤、滑鼠或桌上型電腦等，而ASUS Aura Sync則可用來同步不同裝置上的燈光效果。

研究人員說明，GLCKIo與Asusgio是由Aura Sync所載入的兩個裝置驅動程式，其中的GLCKIo含有CVE-2018-18537與CVE-2018-18536兩個安全漏洞，前者可造系成統當機，後者可能允許本地端駭客執行任意程式，Asusgio則含有CVE-2018-18536及CVE-2018-18535兩個安全漏洞，後者可以最高權限執行任意程式。

SecureAuth Labs從去年11月底就開始與華碩接洽，一直到今年1月才得到華碩的回應，儘管華碩在今年5月前曾經兩度更新Aura Sync，但僅修補其中一個驅動程式的安全漏洞。

至於技嘉的漏洞則是存在於隨著GIGABYTE主機板及AORUS顯示卡出貨的GPCIDrv與GDrv兩款驅動程式，相關的漏洞編號分別為CVE-2018-19320、CVE-2018-19322、CVE-2018-19323與CVE-2018-19321，允許駭客重新啟動系統、執行任意程式或掌控整個系統。

SecureAuth Labs則是在今年4月聯繫技嘉，揭露技嘉的技術支援團隊曾多次以技嘉為硬體公司、不專精軟體為由，要求該實驗室提供更詳細的技術資料，更在7月說該公司的產品經理及工程師認為技嘉的產品並未受到相關漏洞的影響。

總之，SecureAuth Labs在本周同時公布了華碩與技嘉驅動程式的漏洞細節。