Sikkerhetsgruppen Secret Club rapporterte på Twitter om en ekstern feil i Valves spillmotor Source 3D. Det ligger en sårbarhet i spillmotoren forplanter seg til produkter som er bygget med den. Flere spilltitler krever oppdatering for å eliminere risikoen. Feilen rammer potensielt titalls millioner spillere.
Oppdatert, 19. april, 08:09:
Feilen er nå rettet melder “Florian” som melder at mer teknisk informasjon publiseres ved en senere anledning:
Spillet slipper hackerne inn i PCen din gjennom Stream-invitasjoner
En av forskerne i Secret Club sier at de avslørte sårbarheten overfor Valve allerede for to år siden, men feilen er fremdeles å finne i siste versjon av Counter Strike: Global Offensive.
Annonse
Blant spillene som bruker Source 3D er Counter-Strike, Half-Life, Half-Life 2, Garry’s Mod, Team Fortress, Left 4 Dead og Portal.
Det plager gruppen at detaljene om feilen fremdeles ikke kan publiseres ettersom den finnes i noen spill.
Florian er medlem av Secret Club. Han fortalte BleepingComputer at sårbarheten skyldes korrupt minne i kildemotorkoden. Den affekterer flere spilltitler med unntak av spill bygget med Source 2 eller de som kjører en modifisert versjon av Source-motoren, som Titanfall.
I forrige måned CS:GO nærmere 27 millioner unike spillere
Blant spillene som er berørt er CS:GO, hvis siste oppdatering var 31. mars. Ifølge Florian har CS:GO fortsatt feil i kildekoden 10. april, og feilen kan utnyttes til å kjøre skadelig kode på en maskin som kjører spillet.
Han laget en video som viser hvordan en angriper kan utnytte sårbarheten og utføre koden på en fremmed datamaskin ved ganske enkelt å sende en Steam-spillinvitasjon til offeret.
Det siste Florian hørte fra Valve var at det var i ferd med å løse problemet, og at de hadde lokalisert det i ett spill ved hjelp av Source-motoren. Han avslørte ikke hvilket spill.
Vi nevnte bevisst ikke hvilket spill fordi vi ikke vil at folk skal søke etter oppdateringen i spillbinariene. Det kunne sette millioner av spillere i fare.
Florian
Valve ignorerer meldinger om feil
Et ledende medlem av Secret Club, Carl Schou, fortalte at en angriper kan utnytte sårbarheten til å stjele sensitiv informasjon som for eksempel identitet og bankinformasjon.
Secret Club har publisert flere videoer som viser feil i CS:GO, og det hevdes at Valve ignorerte dem i fem måneder til ett år.
Videoen under – fra Brymko, Carl Smith og Simon Scannell – viser utnyttelse av en feil ved kildemotoren gjennom oppkobling til en fellesserver.
Enda en, også etter tilkobling til en server. Programvareingeniør Bien Pham sier at de rapporterte feilen til Valve 2. april ifjor, men ble ignorert.
Valve har ikke svart BleepingComputers forespørsel om kommentar.
Kilde: Bleepingcomputer
I Bleepingcomputers kommentarfelt skriver “thedukesd” irritert:
Hvis du vil få Valve til å fikse feil i programvaren har du ett alternativ:
Gi Valve beskjed om feilen(e) og offentliggjør dem etter 90 dager (30 dager hvis det er en kritisk sikkerhetsfeil; kortere tid fordi de skal fikse dem fort.
Erfaring viser at Valve ikke bryr seg om annet enn penger. Når du handler med et selskap med en slik mentalitet, ser jeg ingen moralsk grunn til ikke å tvinge dem til å fikse feil.
Hvis brukerne lider under at Valve ikke bryr seg om klientenes sikkerhet, vil brukerne forlate Valve, og hvis klientene forlater vil de bli tvunget til å revurdere sin ignorering av “sikkerhetspolitikken”.
Jeg tviler på at Valve vil svare deg. Hvis de svarer er det generisk at de jobber med en løsning, eller at de vil komme tilbake når de har nyheter (hvilket de oftest ikke gjør).
Før noen anklager meg for å si dumme ting om Valve og penger:
- Du kan bli utestengt fra deres community uten å bryte en eneste regel, og forbudet blir ikke endret om du skriver til Support. De vil fortelle at de ikke kan si hvilken regel du brøt (altså hvorfor du ble utestengt), og at de ikke vil endre vedtaket.
- Du kan ikke gi spillkritikk med mindre du bruker penger i butikken deres.
- La oss ta Dota 2: Du kan ikke legge til venner hvis du ikke bruker penger i butikken deres. Dota 2 (samme som CS:GO) er et lagspill. Med tilfeldige spillere er hele ideen om å bygge et lag borte. Lagspillere trenger å trene sammen (som et fotballag). Valve blokkerer spillere fra å legge til venner hvis de ikke kjøper noe i butikken (dette dukket opp de siste årene, ting har ikke alltid vært slik).
Det morsomme er at deres konkurrent League of Legends ikke har denne regelen …
Når du kjenner til Valve og finner en feil i programvaren deres, har du grunn til ikke bare å informere Valve, men gjøre det offentlig … Brukerne burde våkne, hvis de våkner vil de ikke være sikkerhetsofre …
Annonse
Annonse
