Falha presente na Steam há dez anos permitia acesso remoto a computadores, diz pesquisador

Um pesquisador da empresa de segurança Context publicou detalhes de uma falha que ele achou no programa para PC da plataforma de jogos Steam. O bug supostamente existe há quase dez anos e expôs milhões de usuários a possibilidade de serem invadidos remotamente por hackers.

• Steam oferece reembolso para aquele jogo digital que você comprou e não gostou
• Um novo método anti-pirataria em jogos para PC está acabando com a alegria de hackers

Tom Court, da Context, publicou suas conclusões na quarta-feira (30) e explicou os detalhes técnicos do que ele chamou de “um bug super simples e relativamente fácil de explorar devido à falta de proteções modernas.”

De acordo com Court, a pior versão dessa vulnerabilidade foi corrigida pela Valve, desenvolvedora por trás da Steam, em julho do ano passado. Nós não temos notícias se algum atacante se aproveitou da falha de segurança, mas se o fez, diz o especialista, eles poderiam executar códigos remotamente em “todos os 15 milhões de usuários” — tomando conta completamente do computador da vítima. A Valve liberou uma correção parcial do bug após compilar seu antigo porém funcional código com proteções modernas contra falhas.

Uma versão do bug ainda permaneceu mesmo após a correção de julho, mas mesmo em um cenário catastrófico, ele poderia causar apenas que o computador travasse, segundo Court. Infelizmente, quando combinado com uma outra vulnerabilidade de vazamento de informação, ela ainda poderia ser usada por um atacante para executar códigos remotos. Você pode ler todos os detalhes de como o bug funciona aqui, e Court fez um vídeo (abaixo) abrindo remotamente o aplicativo de calculadora usando a falha na Steam.

Nós contatamos a Valve para comentar sobre os relatos da empresa de segurança, mas nós não recebemos uma resposta imediata. Court disse que ele reportou a Valve sobre o problema em 20 de fevereiro e uma correção foi disponibilizada na versão beta do programa em menos de 12 horas. Ela só se tornou parte da versão estável em 22 de março, e Court foi mencionado nas notas que descreviam as novidades da atualização.

Graças à engenharia reversa, o protocolo da Valve conta com detalhes de todos esses anos, e Court diz que não mudou “significantemente” desde a primeira documentação em 2008.

Para o especialista, a moral da história é que mesmo códigos velhos e que funcionam bem precisam ser revisados constantemente por desenvolvedores para assegurarem que eles tenham padrões de segurança atuais.

“O fato de que um bug simples com consequências sérias existia em uma plataforma tão popular por tanto tempo pode surpreender e deveria servir como um encorajamento para todos os pesquisadores de segurança a encontrar e reportar mais essas falhas”, escreveu. Ele também elogiou a Valve pela rápida resposta à sua notificação.

[Context via Motherboard]