华硕与技嘉的驱动程式遭爆含有权限扩张漏洞

资安业者SecureAuth旗下的研究单位SecureAuth Labs周二（12/18）揭露了华硕与技嘉的驱动程式中含有多个涉及权限扩张的安全漏洞，允许非特权的使用者发布系统呼叫，成功开采将可于本地端执行任意程式。

SecureAuth Labs指出，由ASUS Aura Sync所安装的GLCKIo与Asusgio驱动程式中含有3个安全漏洞，将允许本地端骇客扩张权限并执行任意程式。

ASUS Aura为一可用来控制装置上彩色LED的软件，这些装置主要为电竞专用的显示器、主板、显卡、键盘、鼠标或台式电脑等，而ASUS Aura Sync则可用来同步不同装置上的灯光效果。

研究人员说明，GLCKIo与Asusgio是由Aura Sync所载入的两个装置驱动程式，其中的GLCKIo含有CVE-2018-18537与CVE-2018-18536两个安全漏洞，前者可造系成统当机，后者可能允许本地端骇客执行任意程式，Asusgio则含有CVE-2018-18536及CVE-2018-18535两个安全漏洞，后者可以最高权限执行任意程式。

SecureAuth Labs从去年11月底就开始与华硕接洽，一直到今年1月才得到华硕的回应，尽管华硕在今年5月前曾经两度更新Aura Sync，但仅修补其中一个驱动程式的安全漏洞。

至于技嘉的漏洞则是存在于随着GIGABYTE主板及AORUS显卡出货的GPCIDrv与GDrv两款驱动程式，相关的漏洞编号分别为CVE-2018-19320、CVE-2018-19322、CVE-2018-19323与CVE-2018-19321，允许骇客重新启动系统、执行任意程式或掌控整个系统。

SecureAuth Labs则是在今年4月联系技嘉，揭露技嘉的技术支援团队曾多次以技嘉为硬件公司、不专精软件为由，要求该实验室提供更详细的技术资料，更在7月说该公司的产品经理及工程师认为技嘉的产品并未受到相关漏洞的影响。

总之，SecureAuth Labs在本周同时公布了华硕与技嘉驱动程式的漏洞细节。