Valve’ın popüler PC oyun platformu Steam, son derece zarar veren bir günlük güvenlik açığına karşı savunmasız olduğunu belirtti.
Yeni bulgulara göre, yaklaşık 72 milyon Windows kullanıcısı, daha sonra kötü amaçlı yazılım yükleyebilecek, veri çalabilecek, şifreleri tehlikeye atabilecek ve daha fazlasını yapabilen bir saldırgan tarafından sistemlerini ele geçirme riski altında.
Güvenlik açığı, güvenlik görevlisi Vasily Kravets tarafından açıklandı ve saldırganın en az kullanıcı iznine sahip bir saldırganın sistem yöneticisi ile aynı düzeyde erişim kazanmasına izin verebilecek bir ayrıcalıklı güvenlik açığı ortaya çıkardı.
Kravets, yükseltilmiş ayrıcalıkları kullanarak kötü amaçlı yazılımları başlatarak bu avantajdan yararlanabileceğini söyledi:
“Tehditlerin bazıları, yönetici hakları olmadan bile sürdürülmeye devam edecek. Kötü niyetli programların yüksek hakları, riskleri önemli ölçüde artırabilir, programlar virüsten koruma özelliğini devre dışı bırakabilir, herhangi bir kullanıcının neredeyse her dosyasını gizlemek ve değiştirmek, hatta özel verileri çalmak için derin ve karanlık yerler kullanabilir.”
Steam İstemcisi
Güvenlik açığının kendisi, Windows’ta tam sistem ayrıcalıklarıyla başlayan Steam İstemci Hizmeti’ni etkiler. Kravets, sistem kaydını değiştirmenin bir yolunu keşfetti, böylece Steam hizmeti başka bir uygulamayı yürütmek için kullanılabildi, ancak aynı ayrıcalıklarla.
Ne yazık ki, kavram araştırması kanıtı zaten güvenlik araştırmacısı Matt Nelson tarafından kullanıma sunuldu ve bu, potansiyel saldırganların nasıl kullanılacağını bildiği için bu güvenlik açığını daha da ciddi hale getiriyor.
Kravets, bulgularını Vana’ya gönderdikten sadece 45 gün sonra açıkladı. Genellikle araştırmacılar, etkilenen işletmelere yazılımlarındaki güvenlik açıklarını gidermeleri için zaman tanıdığı için genel olarak bir güvenlik açığını açıklamadan 90 gün bekler.
Güvenlik açığı, Kravets’in HackerOne hata sistemini kullanarak ilk başta bildirdiği için henüz giderilmedi. Raporu, ilk olarak HackerOne tarafından kapsam dışı olduğu için reddedildi, çünkü saldırı, Kayıtlara göre “kullanıcının dosya sistemindeki keyfi konumlarına dosya bırakabilme” gerektiriyordu. Kravets, HackerOne’u güvenlik açığının geçerli ve ciddi olduğuna ikna ettikten sonra, raporu Valve’a gönderildi ve birkaç hafta sonra tekrar reddedildi.
Saldırıya maruz kalma riskini önlemek için, kullanıcıların korsan yazılım kullanmamak, birden fazla site ve hizmet için şifreleri tekrar kullanmamak, iki faktörlü kimlik doğrulaması kullanmak ve bir saldırganın ihtiyaç duyduğu en son sistem güncellemelerini ve yamalarını uygulamak da dahil olmak üzere standart güvenlik protokollerini izlemeleri önerilir.