Elemzés: RCE sebezhetőség a Steam kliensben

Bug

A Context Information Security egy távolról kihasználható kódfuttatás-sebezhetőséget (RCE) talált a Valve Steam kliensében. A sebezhetőséget ugyan már javították, de oktatási céllal most közzétették a részleteket. A fenti demón az látható, hogy a Steam kliensben található RCE sebezhetőséget kihasználva, a támadó képes az áldozat fullra patchelt Windows 10 gépén távolról elindítani a számológép alkalmazást.

This blog post explains the story behind a bug which had existed in the Steam client for at least the last ten years, and until last July would have resulted in remote code execution (RCE) in all 15 million active clients. [...] Our vulnerability was reported to Valve on the 20th February 2018 and to their credit, was fixed in the beta branch less than 12 hours later. The fix was pushed to the stable branch on the 22nd March 2018.

Részletek itt.

( kovi | 2018. 06. 01., p – 09:57 )

hogy egy klasszikust idézzek: "megnyitja a calc.exe-t és szenzáció?! :O" :)

--
Vortex Rikers NC114-85EKLS

( fox_mulder | 2018. 06. 01., p – 12:53 )

Ne-Ne csak a számológépet ne indítsátok el. Könyörgök mindenkinek jobb lesz így.

( SzBlackY | 2018. 06. 01., p – 13:05 )

Hát igen, a régi szép időkben még szokott volt dedikált gomb lenni a billentyűzeten a számológép elindítására, ma már ahhoz is steam meg pythonban írt szerver kell :(

BlackY
--
"en is amikor bejovok dolgozni, nem egy pc-t [..] kapcsolok be, hanem a mainframe-et..." (sj)

( Raynes v | 2018. 06. 01., p – 16:40 )

Gondolom a linuxos Steam-klienst nem érintettte.

No keyboard detected... Press F1 to run the SETUP

( uid_19006 | 2018. 06. 01., p – 16:55 )

Mostantól mindenki számolhat a következményekkel. :)

( hnsz2002 v | 2018. 06. 02., szo – 09:08 )

lol @ minden eddigi komment. :D
--
"Sose a gép a hülye."