Služba Steam trpěla 10 let bezpečnostní chybou
Steam trpěl dlouhá léta bezpečnostní chybou. Nezávislý počítačový expert na ní upozornil.
4. 6. 2018 Martin Pilous Zdroj
Jak se ukázalo, tak služba Steam od Valve trpěla doslova kritickou chybou, a to dokonce celých 10 let. Steam totiž obsahoval nebezpečný kód, který mohli hackeři v případě napadení využít ve svůj prospěch. Na dálku tak šlo jakémukoliv uživateli ovládnout jeho počítač.
Bezpečnostní chyby si všiml specialista Tom Court ze společnosti Context. Ten tedy neprodleně začal konat. Tento kód se v aplikaci nacházel skutečně už od roku 2008 a až do loňského července jej mohla využít třetí strana k tomu, aby se mohla do počítače dostat. Díky tomu se mohli hackeři zmocnit více jak 15 milionů účtů, které se aktivně a pravidelně připojují.
Kdokoliv mohl zneužít kohokoliv skrze Steam
Od července to není možné. Služba Steam vydala patch, který způsobil to, že pokud se někdo pokusil kód využít, tak aplikace spadla. Tento problém se objevuje při skládání fragmentů UDP packetů, kdy služba Steam neověřuje, zda velikost alokovaného místa v paměti pro tuto operaci odpovídá skutečné velikosti přijímaných dat. Při správné úpravě velikosti odesílaných dat si může útočník přijít až na 64kb místa. Ty pak může využít pro svůj škodlivý kód.
Tento škodlivý kód je pak možné skrze šikovný skript na dálku spustit. Tom Court na chybu upozornil, ale její zneužití demonstroval pro běžné uživatele, aby věděli, čemu byli po dobu téměř 10 let vystaveni. Skrze tuto chybu se mu podařilo zmocnit druhého počítače a spustit na něm kalkulačku. Jak ale dodává, mohl si na druhém počítači dělat, co se mu zlíbilo. Na závěr dodává, že u těchto služeb musí být i starý, byť funkční kód přezkoumáván, kvůli vývoji v této oblasti, aby až v průběhu let nedošlo ke zneužití.