Am 22. März wurde eines von Steams regulären Updates veröffentlicht, komplett mit einer Verbesserung des Overlaay im Spiel und Behebungen von Problemen mit fehlerhaften Gegenständen im Steam Workshop. Außerdem wurde damit endlich ein Bug beseitigt, der es möglich machte, aus der Ferne die Computer all jener zu übernehmen, die Steam Code laufen ließen.
Sicherheitsforscher Tom Court hat über den Bug und seinen potenziellen Missbrauch gebloggt und erklärt, dass "At its core, the vulnerability was a heap corruption within the Steam client library that could be remotely triggered, in an area of code that dealt with fragmented datagram reassembly from multiple received UDP packets."
Das bedeutet, dass man, wie im Video unten demonstriert wird, aus der Ferne einen Computer übernehmen und Software starten konnte. Bei diesem Test war es nur eine Taschenrechner-App, aber es wären natürlich wesentlich gefährlichere Anwendungen möglich gewesen.
Zum Glück wurde dieser Bug rasch behoben, nachdem Valve von dieser Verwundbarkeit in Kenntnis gesetzt worden war, den im Beta-Zweig von Steam wurde bereits acht Stunden nach der Entdeckugn des Bug ein Patch implementiert. Court sagt: "This was a very simple bug, made relatively straightforward to exploit due to a lack of modern exploit protections. The vulnerable code was probably very old, but as it was otherwise in good working order, the developers likely saw no reason to go near it or update their build scripts. The lesson here is that as a developer it is important to periodically include aging code and build systems in your reviews to ensure they conform to modern security standards, even if the actual functionality of the code has remained unchanged."
Danke, Motherboard.
Keine Kommentare:
Kommentar veröffentlichen