NVIDIA NVApp for Windows 漏洞允许攻击者执行恶意代码

NVIDIA 已修复其 Windows 应用程序中的一个严重漏洞，该漏洞可能允许本地攻击者在受影响的系统上执行任意代码并提升权限。

该漏洞编号为CVE-2025-23358，存在于安装程序组件中。它对运行该应用程序的 Windows 用户构成重大安全风险。

该漏洞源于 NVIDIA 应用程序安装程序中的搜索路径元素问题，被归类为 CWE-427。

拥有本地访问权限和低权限的攻击者可以通过操纵搜索路径来利用此漏洞注入恶意代码。

漏洞详情及技术影响
该漏洞需要用户交互才能触发，但成功利用后可完全执行代码，并允许在整个系统中提升权限。

CVE-2025-23358 的 CVSS v3.1 基本评分为 8.2，该漏洞具有高严重性评级。

攻击途径完全是本地的，这意味着攻击者必须对目标机器拥有物理或逻辑访问权限。

然而，由于攻击复杂度低，且能够提升权限，因此该漏洞在多用户环境和企业环境中尤其危险。

NVIDIA App for Windows 11.0.5.260 之前的版本存在此漏洞。运行此补丁发布之前任何版本的用户仍可能受到攻击。

该公司建议所有受影响的用户立即从 NVIDIA 官方应用程序网站下载并安装 11.0.5.260 或更高版本，以降低风险。


这一漏洞凸显了保持第三方软件更新的重要性，即使是像 NVIDIA 的实用程序软件这样的辅助应用程序也需要更新。

攻击者经常以安装程序组件为目标，因为它们在安装过程中通常以提升的权限运行。

为保护您的系统，请从 NVIDIA 官方网站下载最新版本的 NVIDIA 应用程序。该补丁直接解决了搜索路径处理问题，并消除了代码执行漏洞。

拥有多台 NVIDIA 工作站的组织应优先考虑在其基础架构中部署此更新。

安全团队应核实其软件清单，以识别运行较旧 NVIDIA 应用程序版本的系统，并协调快速修补工作。