Besitzer von Nvidia-Grafikkarten sollten sicherstellen, dass aktuelle GPU-Treiber installiert sind und die vGPU-Software auf dem aktuellen Stand ist. Andernfalls können Angreifer an mehreren Sicherheitslücken ansetzen, um Linux- und Windows-PCs zu attackieren.

Wie aus einer Warnmeldung hervorgeht, kann dabei im schlimmsten Fall Schadcode auf Systeme gelangen und diese vollständig kompromittieren. Der Großteil der Softwareschwachstellen in GPU-Treibern für Linux und Windows ist mit dem Bedrohungsgrad "hoch" eingestuft (etwa CVE-2025-23276 und CVE-2025-23277).

Setzt ein Angreifer erfolgreich an der ersten Lücke an, kann er sich höhere Nutzerrechte verschaffen und im Anschluss eigenen Code ausführen. In der Regel erlangen Angreifer in solchen Fällen die volle Kontrolle über Computer. Im zweiten Fall können unter anderem Informationen leaken oder es kommt zu DoS-Zuständen, was Abstürze auslöst.

Wie solche Attacken ablaufen könnten, ist bislang unklar. Derzeit gibt es keine Berichte zu Attacken. Das kann sich aber schnell ändern und Admins sollten zeitnah reagieren und gegen die geschilderten Angriffe abgesicherte Versionen installieren.

Nvidia vGPU-Software ist an mehreren Stellen verwundbar. Zwei Schwachstellen sind mit dem Bedrohungsgrad "hoch" versehen (CVE-2025-23283, CVE-2025-23284). Sie betreffen im Kontext von Linux-Hypervisoren den virtuellen GPU-Manager. An diesen Stellen kann es etwa zur Ausführung von Schadcode kommen. Außerdem könnten Angreifer Daten manipulieren und Dienste crashen lassen.

Nvidias Entwickler versichern, dass die Windows-GPU-Treiber 539.41, 573.48, 539.41, 573.48 und 577.00 gegen die geschilderten Attacken abgesichert sind. Unter Linux sind es 535.261.03, 570.172.08, 535.261.03, 570.172.08, 575.64.05, 535.261.03, 570.172.08 und 575.64.05. Von vGPU sind die Versionen 6.11 und 18.4 repariert.

Zuletzt sorgten beim Hacker-Wettbewerb Pwn2Own im Mai 2025 entdeckte Sicherheitslücken in Nvidias Triton Inference Server für Schlagzeilen.

Jetzt heise Security Pro entdecken

Jetzt heise Security Pro entdecken

(Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein.)

Dieser Link ist leider nicht mehr gültig. Links zu verschenkten Artikeln werden ungültig, wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden. Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung! Wochenpass bestellen

Sie haben heise+ bereits abonniert? Hier anmelden.

Oder benötigen Sie mehr Informationen zum heise+ Abo

Original Link
(Ursprünglich geschrieben von Heise)