Критична уязвимост в енджина Source позволява кражбата на данни

Специалисти по сигурност алармираха за критична уязвимост в енджина Source на Valve, технологията в основата на Counter-Strike: Global Offensive и други игри на компанията. Успешното експлоатиране на проблема позволява кражбата на пароли, скинове и друг тип данни.

The Secret Club, неформална група от ентусиасти в областта на информационната защита, публикуваха в края на миналата седмица съобщение в социалната мрежа Twitter с оповестяване на уязвимостта и демонстрация на експлоатирането на уязвимостта. За да бъде успешно обаче то, атакуващата страна трябва да използва Steam покана, което им осигурява достъп до всичките данни в системата. Това, което е достатъчно е жертвата просто да приеме поканата, което задейства изпълнението на зловреден код към компютъра. Причината за настоящето действие на The Secret Club не е за слава, а понеже те са съобщили на Valve за уязвимостта още преди две години и изглежда така сякаш компанията се опитва да замете проблема под килима.

„Преди две години, член на The Secret Club докладва за дистанционно експлоатируема уязвимост, която засяга всички Source игри. Тя може да бъде задействана чрез Steam покана. Тя все още не е адресирана и Valve ни пречи да в оповестим публично“, пишат от групата. Е, след настоящата публикация, която бързо обикаля гейм медиите, Valve би трябвало да се задействат. Просто не приемайте покани от неизвестни страни в CS:GO и всичко би трябвало да е наред.

Two years ago, secret club member @floesen_ reported a remote code execution flaw affecting all source engine games. It can be triggered through a Steam invite. This has yet to be patched, and Valve is preventing us from publicly disclosing it. pic.twitter.com/0FWRvEVuUX

— secret club (@the_secret_club) April 10, 2021