Polityka i prawo
Luka w Steam - ponad 90 mln graczy zagrożonych?
W aplikacji platformy gier Steam na Windowsa wykryto podatność typu zero day, umożliwiającą poważne uszkodzenie komputera przez przejęcie kontroli nad usługami systemowymi bez wymaganych do tego uprawnień. Ze Steama korzysta ponad 90 mln osób miesięcznie.
Badacz cyberbezpieczeństwa Vasily Kravets poinformował w czwartek, że podatność istnieje od 45 dni i została zgłoszona firmie Valve, która jest właścicielem Steama. Luka umożliwia niepowołanym osobom modyfikowanie kluczy rejestru oraz przejęcie kontroli nad usługami działającymi na danym komputerze, co może skutkować jego nieodwracalnym uszkodzeniem.
Podatność zlokalizowana jest w usłudze Steam Client Service. Może ona być uruchomiona bądź zatrzymana przez użytkowników komputera nieposiadających do tego odpowiednich uprawnień. Usługa ta automatycznie ustawia uprawnienia w szeregu kluczy rejestru systemowego. Jeśli nieuprawniony użytkownik podmieni jeden z tych kluczy w innej usłudze działającej na tym samym komputerze, może zyskać możliwość sterowania nią, tj. włączenia lub wyłączenia bez odpowiednich uprawnień. Objęte ryzykiem są również istotne dla działania komputera usługi systemowe, takie jak msiserver związany z instalatorem Windowsa.
Dziennikarze serwisu Ars Technica przetestowali możliwość wykorzystania podatności na maszynie wirtualnej z Windowsem. Według nich jedyne narzędzie, którego potrzebowali do skutecznego przeprowadzenia operacji, to program regln-x64.exe pozwalający na łączenie i podmienianie kluczy rejestru bez konieczności instalacji na danym komputerze. Ars Technica pisze, iż przez cały czas trwania operacji ani razu nie uruchomił się mechanizm kontroli uprawnień konta użytkownika systemu Windows. Sam proces wykorzystania podatności zgłoszonej przez eksperta trwał kilka minut.
PAP
