NVIDIA NVApp for Windowsの脆弱性 CVE-2025-23358 が FIX：悪意のコード実行の可能性

NVIDIA NVApp for Windows Vulnerability Let Attackers Execute Malicious Code

2025/11/07 CyberSecurityNews — NVIDIA が公表したのは、Windows 向けアプリに存在する深刻な脆弱性 CVE-2025-23358 に関する修正の情報である。この脆弱性を悪用するローカルの攻撃者は、影響を受けるシステム上で任意のコードを実行し、権限を昇格させる可能性がある。

この脆弱性は NVIDIA App のインストーラー・コンポーネントに存在し、検索パス要素 (CWE-427) に起因する。その悪用に成功したローカル権限を有する攻撃者は、検索パスを操作して悪意あるコードを挿入できるため、Windows ユーザーにとって重大なセキュリティ・リスクとなる。

脆弱性の詳細と技術的影響

この脆弱性を悪用するにはユーザー操作が必要となるが、いったん悪用が成功すると完全なコード実行が許可され、システム全体での権限昇格が可能になる。脆弱性 CVE-2025-23358 は、CVSS v3.1 ベース・スコア 8.2 (深刻度: High) と評価されている。攻撃ベクターが純粋にローカルであるため、攻撃者は対象マシンへの物理的または論理的アクセスを要する。しかし攻撃の複雑度は低く、マルチユーザー環境や企業環境で特に危険である。

Windows 版 NVIDIA App のバージョン 11.0.5.260 未満は、この攻撃に対して脆弱である。パッチ・リリース以前のバージョンを使用しているユーザーは、潜在的な悪用の危険にさらされ続ける。

CVE ID	Affected Product	Severity	CVSS Score
CVE-2025-23358	NVIDIA App for Windows (all versions prior to 11.0.5.260)	High	8.2

対応策

すべての影響を受けるユーザーに対して NVIDIA が強く推奨するのは、公式 NVIDIA App Web サイトからバージョン 11.0.5.260 以降を直ちにダウンロードしてインストールし、リスクを軽減することである。

この脆弱性が浮き彫りにするのは、NVIDIA のユーティリティソフトのような補助的アプリケーションであっても、サードパーティ製ソフトウェアを最新の状態に保つことの重要性である。今回のパッチにより、検索パス処理の問題が直接修正され、コード実行経路が排除される。

昇格した権限で実行されることが多いインストーラー・コンポーネントを、攻撃者たちは積極的に標的化している。複数の NVIDIA 搭載ワークステーションを管理する組織は、ソフトウェア・インベントリを確認の上、旧版 NVIDIA App を実行するシステムを特定し、インフラ全体への迅速なアップデート展開を優先する必要がある。

NVIDIA の脆弱性 CVE-2025-23358 の核心は、Windows 向けインストーラーの検索パス処理の不備 (CWE-427) にあります。ローカル権限を持つ攻撃者が検索パスを操作して悪意のモジュールを挿入すると、インストーラー実行時に任意コードが権限昇格して実行されます。攻撃自体の手順が単純であるため、多人数が使う環境や共有端末が危険となります。影響範囲は NVIDIA App の 11.0.5.260 未満のバージョンとなっています。ご利用のチームは、ご注意ください。よろしければ、NVIDIA で検索を、ご参照ください。