Steam客户端被曝严重安全漏洞 Beta版已紧急修复

  据Arstechnica报道,在8月7日,忍无可忍的安全研究员Vasily Kravets选择公布他发现的一个0day漏洞,而且这个漏洞还是存在于那个与许多玩家紧密相关的:Steam Windows客户端上。这一漏洞可以让任何“用户”通过简单的代码获取LOCALSYSTEM权限然后为所欲为。

  这一漏洞基于“Steam Client Service”,既使是一些无权限“用户”也可以启动或停止这一服务。这样就带来一个问题,这一服务会自动批准一些注册表改动。如果被恶意使用的话,这些键有可能通过Symlink链接到其他服务项之下,让用户可以“借用”管理员权限下自由运行/停止一些自己想运行的exe文件,甚至可以让它们在Windows Installer Service(msiserver)下运行。

  外媒按照他提供的方法在虚拟机中使用无权限“用户”成功在“ C:\Windows\System32\”建立了一个文件,据称,整个过程中没有弹出Windows User Account Control(UAC),并且只用了数分钟就完成了,甚至只需要Steam客户端,连游戏都没有安装。

  然而发现者Vasily通过漏洞众测公司HackerOne反馈这一漏洞后,所得到的回复却是“超出适用范围”,Valve认为“这种攻击需要在用户的本地文件系统的任意位置放置文件的能力”。但经过外媒测试也可以发现,借助Symlink也可以实现这一工作,而发现者Vasily自然也不同意这种说法。

  因此他和HackerOne的工作人员进行了讨论,另一位工作人员在确认完这一报告后,最终向Valve反馈了这一问题。但没过几周,他从第三位HackerOne员工那又收到了“拒绝”的结果。他在原有的理由中又追加了一条“攻击需要物理接触用户设备的能力”。

  不过第二条原因对于一个游戏平台而言,就更不成问题了。既使对方没法亲自给你的电脑装上他的东西,但是心怀恶意的“开发者”就有可能创造出一个免费“游戏”,吸引一些不明就里的人们主动下载。在前段时间,Steam上就曾出现过名为《Pay for Picture》的“拼图”游戏,不仅使用盗来的擦边球图片,根据评测区的反馈,这一游戏还在后台进行“挖矿”行为,好在经过举报已经彻底下架了,但开发商Mola Game似乎还有着创造其他类似“游戏”的动向,当然这些都是后话了。

  回到Vasily的话题上,两次遭拒的他,决定不再依靠外援,除了直接公开已经别无他法。他向HackerOne发出了最后通牒:等到7月30日之后,他就会公开这一漏洞。虽然有这样的声明,但是他并没有在8月立即公开。可笑的是,还没等他公开,他却在8月2号收到了HackerOne的警告:禁止他公开这一漏洞,尽管他们曾“反复声明”这一漏洞“超出适用范围”,并且Valve自家也“觉得”这一问题无足轻重。

  这甚至不是人们第一次提出这一漏洞了,早在2015年就有人将类似的漏洞提交到了公共漏洞及暴露数据库CVE中,在Vasily公布后,这一漏洞也被收录到了国家信息安全漏洞库中。Vasily称,这一漏洞很容易发现,但他是第一个分析研究这一漏洞的人。在8月6号,Steam又进行了一次更新,但是问题依然没有被修复。

  在他发布漏洞的文章最后他还写道“这篇文章原本打算在7月30号就发布(这是我在发出漏洞报告时给出的45天的截止日期)但是2周之后的7月20日,一个人出现并且告诉我这份报告被标为‘不适用’。他们还关闭了关于这一漏洞的讨论帖,却不给我任何解释,甚至,他们还不希望我将漏洞公开。同时,Valve也没有给我任何回应。不,老兄,不应该是这样的吧。既然你们不尊重我的工作,那么我也没必要尊重你们的了,我没有任何理由不公开这一漏洞。或许我会被HackerOne封禁,即便如此我也不会失望。”

  不过这并不是说使用Steam就是不安全的,你也没有必要卸载Steam,只不过在购买一些不明来源的游戏时需要更加谨慎一些。外媒目前联系了valve,但目前还没有受到回应,如果之后事情有所发展,请关注我们的后续报道。

  在最新的Beta版客户端中已经修复了通过Symlink扩大权限的机制,如果你需要的话可以在Steam设置>>账户>>参与测试中选择参与Steam Beta Update来进行更新。

热门相关:满级绿茶她重生了   他身上有条龙   从1983开始   这不是娱乐   8亿聘金:帝少的蚀骨烈爱