Error de seguridad de parches de Valve en Steam
Recientemente los desarrolladores de válve han solucionado un problema grave de seguridad que afectaba a todas las versiones del cliente de juegos Steam lanzado en los últimos diez años.
Según Tom Court, un investigador de seguridad de Context Information Security, el que descubrió el error, la vulnerabilidad habría permitido a un atacante ejecutar código malicioso en cualquiera de los 15 millones de clientes de juegos de Steam.
Vulnerabilidad explotable de forma remota a través de paquetes de red
En la jerga de los investigadores de seguridad, esta es una falla de ejecución remota de código (RCE) porque la explotación era posible a través de solicitudes de red, sin necesidad de acceder a la computadora de la víctima.
Court dice que un atacante solo debía enviar paquetes UDP con formato incorrecto al cliente Steam de un objetivo, lo que habría activado el error y le habría permitido ejecutar código malicioso en la PC del objetivo.
La causa principal de esta vulnerabilidad es un desbordamiento del búfer en una de las muchas bibliotecas internas de Steam, y más específicamente en el código de Steam que trata sobre el ensamblaje del datagrama UDP fragmentado.
Error accidentalmente parcheado en julio pasado
El investigador de seguridad de Context dice que la explotación de esta falla habría sido trivial hasta julio de 2017, cuando Valve agregó protección ASLR al cliente de escritorio Steam.
La función de seguridad añadida dificultó la explotación, causando solo un bloqueo del cliente Steam en ediciones posteriores.
Sin embargo, Court dice que un atacante habría tenido éxito explotando este error si combinara el defecto original con una fuga de información que expuso la ubicación de la memoria de la aplicación Steam.
El problema ahora está solucionado en Steam. Court informó el error a Valve el 20 de febrero de este año, y los desarrolladores de Valve lanzaron un parche inicial para el cliente beta de Steam en 12 horas. Se lanzó una solución final para el cliente principal de Steam el 4 de abril.
Después de darle a los usuarios de Steam casi dos meses para actualizar, Court ha publicado hoy un informe sobre el tema, que incluye detalles técnicos largos y un video de prueba de concepto.