GPU DDK - Lecture UAF de GLES3Context::psDrawParams et GLES3Context::psMode et lecture/écriture UAF de RMJob::apsCCBs
Plateforme
linux
Composant
imagination-technologies-gpu-ddk
Corrigé dans
24.2.1
Une page web contenant un contenu WebGPU inhabituel chargé dans le processus de rendu GLES de la GPU peut déclencher un crash d'écriture UAF dans la bibliothèque partagée de l'espace utilisateur GLES de la GPU. Sur certaines plateformes, lorsque le processus exécutant la charge de travail graphique dispose de privilèges système, cela pourrait permettre d'autres exploits sur l'appareil.
Impact et Scénarios d'Attaque
CVE-2026-22165 est une vulnérabilité de type 'Use-After-Free' (UAF) affectant la bibliothèque partagée de l'espace utilisateur de la GPU GLES. Elle est déclenchée lorsqu'une page web contenant du contenu WebGPU inhabituel est chargée dans la GPU au sein du processus de rendu GLES. Cela peut entraîner un plantage de l'application. Sur certaines plateformes, si le processus exécutant les charges de travail graphiques dispose de privilèges système, cela pourrait permettre d'exploiter davantage l'appareil, compromettant potentiellement le système d'exploitation et les données de l'utilisateur. La gravité de cette vulnérabilité dépend de la configuration du système et des privilèges du processus affecté, mais elle représente un risque important pour la stabilité et la sécurité du système.
Contexte d'Exploitation
La vulnérabilité est exploitée par la manipulation du contenu WebGPU au sein d'une page web. Un attaquant pourrait créer une page web malveillante qui, lors du chargement, déclenche la condition 'Use-After-Free' dans la bibliothèque graphique. Le succès de l'exploitation dépend de la configuration du système et de la présence de privilèges élevés dans le processus affecté. Cette vulnérabilité est particulièrement préoccupante dans les environnements où les applications disposant de privilèges élevés utilisent WebGPU, tels que les serveurs de jeux ou les applications de conception graphique. La complexité de l'exploitation réside dans la nécessité de créer un contenu WebGPU spécifique qui déclenche la défaillance, mais une fois exploitée, elle pourrait permettre l'exécution de code arbitraire dans le contexte du processus affecté.
Renseignement sur les Menaces
Statut de l'Exploit
EPSS
0.01% (percentile 3%)
Logiciel Affecté
Classification de Faiblesse (CWE)
Chronologie
- Publiée
- EPSS mis à jour
Mitigation et Contournements
L'atténuation principale pour CVE-2026-22165 est de mettre à jour vers la version 24.2.1 du Graphics DDK. Cette mise à jour inclut les correctifs nécessaires pour éviter la condition 'Use-After-Free'. Les utilisateurs et les administrateurs système sont fortement encouragés à appliquer cette mise à jour dès que possible afin de réduire le risque d'exploitation. De plus, il est important de maintenir le système d'exploitation et les pilotes graphiques à jour avec les derniers correctifs de sécurité. Surveiller l'activité de la GPU et les applications utilisant WebGPU peut aider à détecter un comportement anormal qui pourrait indiquer une tentative d'exploitation. Il est également recommandé de revoir les politiques de sécurité afin de limiter les privilèges des processus exécutant des charges de travail graphiques.
Comment corrigertraduction en cours…
Actualice el driver de GPU DDK a la versión 24.2.1 o posterior para mitigar la vulnerabilidad de uso después de liberar (UAF). Verifique la documentación de Imagination Technologies para obtener instrucciones específicas de actualización para su plataforma y configuración. Asegúrese de aplicar las actualizaciones de seguridad más recientes para su sistema operativo y hardware.
Questions fréquentes
Qu'est-ce que CVE-2026-22165 dans GPU DDK ?
Un 'Use-After-Free' se produit lorsqu'un programme tente d'accéder à une mémoire qui a déjà été libérée. Cela peut entraîner un plantage de l'application ou, dans des cas plus graves, l'exécution de code malveillant.
Suis-je affecté(e) par CVE-2026-22165 dans GPU DDK ?
WebGPU est une API web moderne qui fournit un accès à la GPU pour les tâches de rendu et de calcul. Elle permet aux applications web d'effectuer des tâches graphiques et de traitement de données de manière plus efficace.
Comment corriger CVE-2026-22165 dans GPU DDK ?
Si vous utilisez une version du Graphics DDK antérieure à 24.2.1, vous pourriez être affecté. Vérifiez la version de votre DDK et mettez-la à jour si nécessaire.
CVE-2026-22165 est-il activement exploité ?
Si vous suspectez une attaque, déconnectez l'appareil du réseau et contactez un professionnel de la cybersécurité pour vous aider à enquêter sur l'incident.
Où trouver l'avis officiel de GPU DDK pour CVE-2026-22165 ?
Actuellement, il n'existe pas d'outils spécifiques pour détecter CVE-2026-22165. Cependant, les outils d'analyse de sécurité peuvent aider à identifier un comportement anormal qui pourrait indiquer une tentative d'exploitation.
Ton projet est-il affecté ?
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Essayez maintenant — sans compte
scanZone.subtitle
Glissez-déposez votre fichier de dépendances
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...