La plate-forme de jeu pour PC très populaire de Valve, Steam, est vulnérable à une faille de sécurité zéro jour qui pourrait laisser 72 millions d’utilisateurs Windows au risque de voir leurs systèmes pris en charge par un attaquant qui pourrait ensuite installer des logiciels malveillants, voler des données, compromettre les mots de passe, etc.
La vulnérabilité a été révélée par un chercheur en sécurité nommé Vasily Kravets 45 jours seulement après avoir soumis son rapport à ce sujet à Valve. En règle générale, les chercheurs attendent 90 jours avant de divulguer publiquement une vulnérabilité, ce qui leur donne le temps de réparer les vulnérabilités de leurs logiciels.
Kravets a découvert une vulnérabilité d'élévation de privilèges qui pourrait permettre à un attaquant disposant d'autorisations utilisateur minimales d'obtenir les mêmes niveaux d'accès que l'administrateur système. Un acteur menaçant pourrait en tirer parti en lançant un malware utilisant ces privilèges élevés. Kravets a expliqué à quel point la vulnérabilité est grave en ces termes:
"Certaines des menaces resteront même exécutées sans droits d'administrateur. Les droits élevés des programmes malveillants peuvent augmenter considérablement les risques, les programmes pourraient désactiver l'antivirus, utiliser des zones sombres et profondes pour masquer et modifier presque tous les fichiers de n'importe quel utilisateur, voire même voler des données privées "
Sommaire
Service client Steam
La vulnérabilité elle-même affecte le service client Steam qui se lance avec les privilèges système complets sous Windows. Kravets a découvert un moyen de modifier le registre du système pour que le service Steam puisse être utilisé pour exécuter une autre application, mais avec les mêmes privilèges élevés.
Malheureusement, le code de la preuve de concept a déjà été mis à disposition par le chercheur en sécurité, Matt Nelson, ce qui aggrave encore la vulnérabilité, car des attaquants potentiels savent désormais comment l'exploiter.
La vulnérabilité n'a pas encore été corrigée, car Kravets l'avait initialement signalée à l'aide du système d'abattage des bogues HackerOne. Son rapport avait initialement été rejeté par HackerOne, car l'attaque nécessitait «la possibilité de déposer des fichiers à des emplacements arbitraires sur le système de fichiers de l'utilisateur», selon le rapport. Le registre. Après que Kravets eut convaincu HackerOne que la vulnérabilité était à la fois valide et sérieuse, son rapport fut envoyé à Valve et rejeté à nouveau quelques semaines plus tard.
Étant donné que le code de validation a déjà été publié, il est probable que la vulnérabilité sera bientôt exploitée.
Pour éviter d'être victime de l'attaque, il est recommandé aux utilisateurs de respecter les protocoles de sécurité standard, notamment ne pas utiliser de logiciel piraté, ne pas réutiliser les mots de passe de multiples sites et services, utiliser une authentification à deux facteurs et appliquer les dernières mises à jour et correctifs système, car un attaquant aurait besoin l'accès au système d'un utilisateur pour exploiter la vulnérabilité en premier lieu.
Via Forbes
