Nul
Oekraïense kwetsbaarheid onderzoeker heeft een bug gevonden dat zou hebben toegestaan hem te downloaden van de activeringssleutels (ook bekend als CD-toetsen beschikbaar zijn gesteld door de Stoom gaming platform, voor een game, ooit.
Ontdekt door Artem Moskowsky, de bug was in Steamworks, een platform dat Valve draait om ontwikkelaars te helpen met het maken en publiceren van games via Steam gaming-client.
Moskowsky de fout gevonden in een Stoom-web-API gelegen op partner.steamgames.com/partnercdkeys/assignkeys/.
Dit is de API waarmee ontwikkelaars of filialen ophalen van CD-keys beschikbaar voor Steam-gebruikers, zodat hun klanten kunnen activeren van een spel geïnstalleerd via de Steam-client.
Deze API is toegankelijk met behulp van een gewone Steam-account en duurt een aantal parameters, maar degenen die het meest relevant zijn appid (die het spel), keyid (die de identificatie van een set CD-toetsen), en keycount (die het nummer van CD keys die Stoom behoefte om terug te keren in een CD-sleutel instellen).
Moskowsky zegt dat onder normale omstandigheden, wanneer hij probeerde te halen CD-keys voor games die hij niet bezit, Stoom-API gaf hem een fout, dat is wat er moet gebeuren.
Maar de onderzoeker ontdekte dat door het instellen van de keycount parameter op “0” hij kon omzeilen van de API ‘ s van beperkingen en het ophalen van een bestand met CD-toetsen die behoren tot een spel, zelfs als de gebruiker was niet de bedoeling om de toegang tot die spel CD-collectie keys.
In een interview met ZDNet, Msokowsky vertelde ons dat de bug niet ingewikkeld om erachter te komen, “maar het was niet duidelijk genoeg” voor de toevallige waarnemer.
“Hier, mijn intuïtie heeft mij geholpen,” zei hij.
Tijdens zijn onderzoek nog voor de kennisgeving van Stoom, de onderzoeker zei dat hij was in staat om te genereren en downloaden meer dan 36.000 CD-keys voor de Portal 2 spel.
Verder onderzocht hij de bug ‘s bereiken, hij besefte ook dat een aanvaller kan gaan door alle Steam-games-Id’ s en geleidelijk het downloaden van al hun CD-toetsen, zoals de appid en keyid parameters waren makkelijk te raden is.
Moskowsky meldde de bug aan het Ventiel in augustus via het bedrijf HackerOne bug bounty-platform, en het bedrijf vast het binnen enkele dagen, maar pas onlangs toe dat hij met zijn bevindingen.
Het is onduidelijk of iemand anders ooit gevonden of misbruik te maken van dit probleem voordat Moskowsky stuiten op. “Ventiel niet mij te voorzien van deze informatie, met” de onderzoeker vertelde ZDNet. “Maar ik denk persoonlijk dat niemand gebruikt de kwetsbaarheid.” Valve ook niet reageren op een verzoek om commentaar van ZDNet.
De onderzoeker kreeg een $20.000 beloning voor het melden van deze specifieke bug aan het Ventiel, één van de grootste bug gaven het platform ooit heeft betaald.
Een maand voordat het zover is, Moskowsky eerder had verdiend Klep van de hoogste beloning van $25.000 na het ontdekken en melden van een SQL-injectie lek in dezelfde Steamworks-portal.
Moskowsky vertelt ons dat hij was een zeer vruchtbaar jaar, over het algemeen, ook eerder het verzamelen van 18.000 dollar van de ViaBTC mijnbouw zwembad, en nog eens $13,300 van Samsung.
Verwante dekking:
VirtualBox zero-day gepubliceerd door ontevreden onderzoeker
IoT botnet infecteert de 100.000 routers te verzenden uit Hotmail, Outlook, Yahoo, spamOracle bevestigt China Telecom, internet verkeer ‘geval’FCC-Voorzitter Ajit Pai comes clean op de DDoS-aanval vordering CNETTwee botnets aan het vechten zijn en de controle van duizenden onbeveiligde Android-apparatenvan Cisco verwijderd zijn zevende backdoor-account van dit jaar, en dat is een goede zaakGeavanceerde DDoS-aanvallen een stijging van 16% ten opzichte van vorig jaar TechRepublicCambodja Isp ‘ s getroffen door enkele van de grootste DDoS-aanvallen in de geschiedenis van het land
Verwante Onderwerpen:
Beveiliging TV
Data Management
CXO
Datacenters
0