Exploits funcionantes publicados para falhas zero-click de sincronização do Steam
A Atredis Partners encontrou dois buffer overflows nas mensagens que o Steam sincroniza entre PCs conectados à mesma conta, permitindo sequestrar o cliente em outra máquina sem nenhum clique. A empresa publicou exploits funcionantes e afirma que cada falha já foi corrigida ou passou do prazo de divulgação. Usuários devem manter o cliente do Steam atualizado.
O que aconteceu
A Atredis Partners descobriu duas falhas no cliente do Steam que permitiam assumir o controle de um computador a partir de outro PC conectado à mesma conta, sem nenhum clique do usuário. A empresa publicou exploits funcionantes que demonstram o ataque.
Por que importa
Qualquer pessoa com acesso a um dos PCs da conta Steam podia comprometer o cliente em outra máquina da mesma conta, expondo sessões e dados da conta. Com exploits públicos em circulação, clientes desatualizados seguem em risco.
O que fazer
Atualizar o cliente do Steam em todas as máquinas da empresa agora e verificar se há versões antigas instaladas. Orientar que contas Steam corporativas não sejam compartilhadas entre vários computadores.
Para o time técnico
- Afetados
- Steam (cliente) · Cliente Steam (versões não especificadas nas fontes).
- Exploração
- Exploits funcionantes publicados pela Atredis Partners. Nenhuma exploração na natureza relatada nas fontes.
- Correção
- A Atredis afirma que cada falha já foi corrigida ou passou do prazo de divulgação; versões corrigidas não especificadas nas fontes.
- Vetor
- Cliente Steam, sincronização de mensagens entre PCs conectados à mesma conta. Dois buffer overflows nas mensagens sincronizadas; exploração sem clique, a partir de outro PC da mesma conta.
- Mais detalhes
- Descoberta atribuída à Atredis Partners. Falhas descritas como zero-click, sem interação da vítima. Divulgação feita após prazo de divulgação, com publicação de exploits funcionantes.
Linha do tempo
Atredis Partners divulga dois buffer overflows na sincronização do Steam e publica exploits funcionantes.
Fontes 1 fonte
- @IntCyberDigest @IntCyberDigest
