Valve hat für Steam seine LPE Sicherheitslücke mit der neuen Beta Version gefixt. Man wird sehen, wie effektiv dieser neue Patch ist.
Fast 24 Stunden nachdem der Sicherheitsforscher Vasily Kravets (PsiDragon) seinen Proof of Concept (PoC) für eine zweite Schwachstelle im Steam-Client für Windows veröffentlicht hatte, veröffentlichte Valve ein Beta-Update, das angeblich die Fehler behebt.
Nachdem Kravets mit seinem Kollegen Matt Nelson eine local privilege escalation (LPE) entdeckte und meldete, ignorierte Valve dies. Valve begründete es damit, dass diese Schwachstelle außerhalb ihrer Anwendung liegt. Aus diesem Grund veröffentliche Matt Nelson ein PoC um zu beweisen, dass die Anwendung tatsächlich eine Sicherheitslücke aufweist. In dem PoC löst er die LPE aus und bekommt SYSTEM-Rechte. System-Rechte sind die höchsten Rechte, die man auf einem Computer bekommen kann.
This is my #ZeroDay #PublicDisclosure of a security vulnerability at Steam Windows client which allows a local privilege escalation. #0day
Rus – https://t.co/W4VNdHIBCI
Eng – https://t.co/1ZDFzx3uxt— Felix aka [xi-tauw] (@PsiDragon) 7. August 2019
Valve veröffentlicht einen Patch mit neuer Sicherheitslücke
Ein paar Tage später veröffentlichte Valve einen Patch für die Schwachstelle. Doch der Patch war keine vollständige Lösung, da dieser leicht umgangen werden konnte. Nicht einmal zwei Tage später veröffentlichte Xiaoyin Liu wie man diesen Patch umgehen konnte.
I found a way to bypass the fix. The bypass requires dropping a file in a nonadmin-writable location, so I think it’s out-of-scope for Valve. Write-up: https://xiaoyinl.github.io/steam_EoP_bypass.html cc @PsiDragon @enigma0x3 @steam_games #infosec #steam #bugbounty https://t.co/qIylEG7u2L
— Xiaoyin Liu (@general_nfs) 15. August 2019
Weiterer Zero-Day in Valves Steam gefunden
Am 20. August veröffentlichte der Sicherheitsforscher Vasily Kravets, dass er einen weiteren LPE gefunden hatte. Doch er konnte ihn nicht melden, da er aus Veröffentlichung seines vorherigen Zero-Days aus Valve’s HackerOne Bug-Bounty-Programm gesperrt wurde.
Valve banned me on their H1 program.
So…
I release new #ZeroDay #PublicDisclosure EoP vulnerability at Steam.
Another #0day.
Rus – https://t.co/jAoq5kCTfF
Eng – https://t.co/FfGXltXmpX— Felix aka [xi-tauw] (@PsiDragon) 20. August 2019
Neues Update für die Steam Beta Version und die HackerOne-Richtlinie
Am 21. August veröffentlichte Valve den Patch, aber nur für die Steam Beta Version. Das Update soll die Schwachstelle beheben und somit die LPE patchen. Des Weiteren gesteht Valve den Fehler ein, die Fehlerberichte abzulehnen. Das Unternehmen beschloss, ihre HackerOne-Richtlinie zu aktualisieren, um zu zeigen, dass LPE-Schwachstellen nun in den Anwendungsbereich ihres Bug-Bounty-Programms fallen würden.
Es bleibt abzuwarten, wie effektiv dieser neue Patch gegen die Schwachstellen sein wird. Kravets tweete, dass er warten würde, bis der Patch freigegeben wurde, bevor er diesen testet.
UPDATE: Es gibt einen weiteren PoC für diese Schwachstelle.
https://t.co/WwHT7H8hcN
Valve is patching something. I’ll wait for main client update.— Felix aka [xi-tauw] (@PsiDragon) 22. August 2019
Tarnkappe.info
