חוקרים: ניתן להשתמש לרעה בפרוטוקול URL של Steam כדי לנצל את נקודות התורפה של המשחק

תוקפים יכולים להתעלל באופן שבו דפדפנים ויישומים אחרים מטפלים בכתובות URL של Steam כדי לנצל פגיעות חמורה בלקוח Steam או במשחקים המותקנים דרך הפלטפורמה, על פי חוקרים מ סטארט-אפ פאוורפלייז ומשרד הייעוץ ReVuln.

Steam היא הפצה דיגיטלית פופולארית ופלטפורמת ניהול זכויות דיגיטלי עבור משחקים, ומאז מוקדם יותר החודש, מוצרי תוכנה אחרים. על פי חברת Valve Corporation, החברה שפיתחה ומפעילה את הפלטפורמה, Steam מציעה למעלה מ -2,000 כותרים ויש לה למעלה מ -40 מיליון חשבונות פעילים.

לקוח ה- Steam יכול לפעול ב- Windows, Mac OS X ו- Linux, אם כי כגרסת ביתא בלבד במערכת ההפעלה האחרונה.

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows שלך]

כאשר לקוח Steam מותקן במערכת, הוא נרשם כמפעיל פרוטוקול URL של Steam: //. משמעות הדבר היא שבכל פעם שמשתמש לוחץ על כתובת URL של Steam: // בדפדפן או ביישום אחר, כתובת האתר מועברת אל לקוח Steam לביצוע.

כתובות Steam: // יכולות להכיל פקודות של פרוטוקול Steam להתקנה או הסרת משחקים, עדכון משחקים, הפעלת משחקים עם פרמטרים מסוימים, קבצי גיבוי או ביצוע פעולות נתמכות אחרות.

תוקפים יכולים לנצל לרעה פקודות אלה כדי לנצל מרחוק פגיעויות בלקוח Steam או במשחקי Steam המותקנים במערכת על-ידי הטעיית משתמשים לפתיחת זדוניות (ארכיון) פורסם ב יום שני.

הבעיה היא שכמה דפדפנים ויישומים מעבירים באופן אוטומטי כתובות Steam: // ל - Steam מבלי לבקש אישור מהמשתמשים, אמרו החוקרים. דפדפנים אחרים מבקשים אישור משתמש, אך אינם מציגים את כתובות האתר המלאות או מזהירים מפני הסכנות שמאפשרות ביצוע כתובות אתר כאלה.

על פי בדיקות שבוצעו על ידי חוקרי ReVuln, Internet Explorer 9, Google Chrome ו- Opera מציגים אזהרות ואת האדים המלא או החלקי: // לפני העברתם ללקוח Steam לביצוע. כמו כן, אתר האינטרנט של פיירפוקס מבקש אישור משתמש, אך הוא אינו מציג את כתובת האתר ולא מספק שום אזהרה, ואילו ספארי מבצעת באופן אוטומטי כתובות אתר של Steam ללא אישור המשתמשים.

"כל הדפדפנים שמבצעים כתובות אתר חיצוניות ישירות ללא אזהרות ואלה המבוססים על מנוע Mozilla (כמו Firefox ו- SeaMonkey) הם וקטור מושלם לביצוע שיחות פרוטוקול שקט של Steam Steam ", אמרו החוקרים. "בנוסף לדפדפנים כמו Internet Explorer ו- Opera, עדיין ניתן להסתיר את החלק המפוקפק של כתובת האתר מלהיות מוצג בהודעת האזהרה על ידי הוספת מספר רווחים לתוך ה- Steam: // URL עצמו."

מלבד הטעיית משתמשים באופן ידני לחץ על כתובות אדים: // URL, התוקפים יכולים להשתמש בקוד JavaScript נטען על דפים זדוניים כדי להפנות את הדפדפנים לכתובות כאלו, אמר Luigi Auriemma ביום שלישי בדוא"ל.

דפדפנים הדורשים אישור משתמש עבור קיטור: // URL ביצוע כברירת מחדל בדרך כלל לספק למשתמשים אפשרות לשנות את ההתנהגות הזו ויש להם את כתובות האתר באופן אוטומטי מבוצע על ידי הלקוח Steam, Auriemma אמר. "זה מאוד אפשרי כי גיימרים רבים כבר יש את הקישורים: // קישורים ישירות להורג בדפדפן, כדי למנוע את מטרד של אישור אותם כל הזמן."

לכידת מסך מתוך הוכחה של הקונספט וידאו שנוצר על ידי ReVuln כי מראה כיצד התוקפים יכולים להתעלל בדרך שבה דפדפנים ויישומים אחרים מטפלים בכתובות URL של פרוטוקולים:

החוקרים פרסמו סרטון שבו הם מדגימים כיצד ניתן להשתמש בכתובות URL של Steam כדי לנצל מרחוק כמה פגיעויות שמצאו בלקוח Steam ואת המשחק הפופולרי.

לדוגמה, הפקודה "retailinstall" של פרוטוקול Steam יכולה לשמש לטעינת קובץ תמונה מסוג TGA בעל מבנה פגום המנצלת פגיעות בלקוח Steam כדי לבצע קוד זדוני בהקשר של התהליך שלו, אמרו החוקרים

בדוגמה אחרת, ניתן להשתמש בכתובת אתר Steam: // כדי לבצע פקודות לגיטימיות הנמצאות במנוע המשחק Valve's Source כדי לכתוב קובץ.bat עם תוכן בשליטת התוקף בתוך תיקיית ההפעלה של Windows. קבצים הממוקמים בספריית ההפעלה של Windows מבוצעים באופן אוטומטי כאשר משתמשים נכנסים.

מנוע המשחק Source משמש במשחקים פופולריים רבים, כולל Half-Life, Counter-Strike ו- Fort Fortress שיש להם עשרות מיליוני שחקנים.

עוד מנוע המשחק הפופולרי שנקרא Unreal תומך טעינת קבצים מ WebDAV מרוחק או SMB ספריות משותפות באמצעות פרמטרים שורת הפקודה. אדים נוכלים: // URL יכול לשמש לטעינת קובץ זדוני ממיקום זה, אשר מנצל את אחת מהפגיעות של הצפות השלמות הרבות הנמצאות במנוע המשחק על מנת לבצע קוד זדוני, אמרו החוקרים.

העדכון האוטומטי תכונה אשר נמצא כמה משחקים כמו APB Reloaded או MicroVolts יכול גם להיות התעללו באמצעות Steam כתובות // // כדי ליצור קבצים עם תוכן בשליטת התוקף על הדיסק.

על מנת להגן על עצמם המשתמשים יכולים להשבית את Steam: // פרוטוקול URL מטפל באופן ידני או עם יישום מיוחד, או יכול להשתמש בדפדפן שאינו מבצע באופן אוטומטי כתובות קיטור: //, אומר Auriemma. "החיסרון הוא שהגיימרים שמשתמשים בקישורים אלה באופן מקומי (קיצורי דרך) או באינטרנט (דפדפן אינטרנט) כדי להצטרף לשרתים או להשתמש בתכונות אחרות של פרוטוקול זה לא יוכלו להשתמש בהם."

מכיוון ש- Safari הוא אחד הדפדפנים מבצע באופן אוטומטי קיטור: // URL, משתמשי Mac OS X, המייצגים את רוב בסיס המשתמשים של הדפדפן, עלולים להיות חשופים יותר להתקפות כאלה. "Mac OS היא הפלטפורמה המשנית המשמשת ב- Steam, ומשחקים רבים זמינים לפלטפורמה זו, כך שיש לה בסיס משתמשים רחב", אומר Auriemma. "לדעתנו, Valve חייב להסיר את הפרמטרים של שורת הפקודה למשחקים משום זה מסוכן מדי והם לא יכולים לשלוט איך תוכנות אלה צד שלישי יכול לפעול עם פרמטרים פגומים ", אמר החוקר.

Valve לא מיד להחזיר בקשה להערה.

מוקדם יותר החודש החלה Valve להפיץ -Gaming כותרות התוכנה באמצעות Steam.

בחודשים האחרונים השקיע Valve הרבה בפלטפורמת Steam המשחררת את גרסת הבטא של Steam for Linux, והוסיפה את שירות GreenLight שבו משתמשים יכול להצביע אילו משחקים הם רוצים לראות זמין ב Steam, הוסיף את סעיף תוכנה, הוסיף משחקים ועוד כמה משחקים מודגשות זמין מלא לזמן מוגבל, טונות של משחקים חינם לשחק הרבה יותר ", אמר החוקר. "לא היה רגע טוב יותר לשים לב לנושאים האלה מאשר עכשיו"