Valve исправила в Steam баг десятилетней давности

Разработчики клиента игрового сервиса Steam выпустили исправление для уязвимости, существовавшей во всех версиях программы последние 10 лет. Брешь позволяла злоумышленникам выполнять вредоносный код на устройствах пользователей.

Как работала уязвимость?

Злоумышленник мог эксплуатировать ошибку даже без воздействия на компьютер жертвы. Достаточно было отправить Steam зараженный UDP-пакет, который позволял удаленно запускать код. Причина уязвимости — переполнение буфера в одной из внутренних библиотек клиента сервиса. В особенности затрагивалась часть кода, взаимодействующая с фрагментированной сборкой UDP-датаграмм.

Случайное исправление

Исследователи, обнаружившие брешь, утверждают, что ее практически устранило июльское обновление. Оно принесло поддержку ASLR в настольный клиент сервиса. Благодаря такой защите программа в большинстве случаев просто «вылетала». Однако злоумышленники все еще могли воспользоваться уязвимостью, узнав местонахождение Steam в памяти компьютера.

Том Корт из Context Information Security сообщил Valve об ошибке в феврале 2018 года. В течение 12 часов разработчики выпустили тестовое исправление для бета-версии клиента. Финальное обновление вышло в апреле 2018 года.

В конце мая 2018 года Том Корт рассказал об этой уязвимости подробнее в блоге компании. Также он приложил proof-of-concept видео:

Steam — не единственный сервис с такими старыми уязвимостями. Например, в марте 2018 года в менеджере паролей браузера Firefox была обнаружена брешь девятилетней давности.