La plate-forme de jeux PC populaire de Valve, Steam, est vulnérable à une vulnérabilité de sécurité zéro jour extrêmement dommageable, ont averti les experts.
Selon de nouvelles découvertes, environ 72 millions d'utilisateurs Windows risquent de se faire prendre en charge leurs systèmes par un attaquant qui pourrait alors installer des logiciels malveillants, voler des données, compromettre des mots de passe, etc.
Vasily Kravets, chercheuse en sécurité, a découvert une vulnérabilité d'élévation de privilèges qui permettrait à un attaquant disposant d'autorisations utilisateur minimales d'obtenir les mêmes niveaux d'accès que l'administrateur système.
Un acteur menaçant pourrait en tirer parti en lançant un malware utilisant ces privilèges élevés, a expliqué Kravets en expliquant:
"Certaines des menaces resteront même exécutées sans droits d'administrateur. Les droits élevés des programmes malveillants peuvent augmenter considérablement les risques, les programmes pourraient désactiver l'antivirus, utiliser des zones sombres et profondes pour masquer et modifier presque tous les fichiers de n'importe quel utilisateur, voire même voler des données privées "
Sommaire
Service client Steam
La vulnérabilité elle-même affecte le service client Steam qui se lance avec les privilèges système complets sous Windows. Kravets a découvert un moyen de modifier le registre du système pour que le service Steam puisse être utilisé pour exécuter une autre application, mais avec les mêmes privilèges élevés.
Malheureusement, le code de la preuve de concept a déjà été mis à disposition par le chercheur en sécurité, Matt Nelson, ce qui aggrave encore la vulnérabilité, car des attaquants potentiels savent désormais comment l'exploiter.
Kravets a divulgué ses conclusions à peine 45 jours après avoir soumis son rapport à Valve. En règle générale, les chercheurs attendent 90 jours avant de divulguer publiquement une vulnérabilité, ce qui leur donne le temps de réparer les vulnérabilités de leurs logiciels.
La vulnérabilité n'a pas encore été corrigée, car Kravets l'avait initialement signalée à l'aide du système d'abattage des bogues HackerOne. Son rapport avait initialement été rejeté par HackerOne, car l'attaque nécessitait «la possibilité de déposer des fichiers à des emplacements arbitraires sur le système de fichiers de l'utilisateur», selon le rapport. Le registre. Après que Kravets eut convaincu HackerOne que la vulnérabilité était à la fois valide et sérieuse, son rapport fut envoyé à Valve et rejeté à nouveau quelques semaines plus tard.
Étant donné que le code de validation a déjà été publié, il est probable que la vulnérabilité sera bientôt exploitée.
Pour éviter d'être victime de l'attaque, il est recommandé aux utilisateurs de respecter les protocoles de sécurité standard, notamment ne pas utiliser de logiciel piraté, ne pas réutiliser les mots de passe de multiples sites et services, utiliser une authentification à deux facteurs et appliquer les dernières mises à jour et correctifs système, car un attaquant aurait besoin l'accès au système d'un utilisateur pour exploiter la vulnérabilité en premier lieu.
Via Forbes
