Hacker saa 20 000 dollaria venttiililtä löytääkseen Steam-virheen, joka tuottaa ilmaisia ​​höyryavaimia

Höyry

Valve's Steam on yksi suosituimmista ja menestyneimmistä digitaalisen jakelualustoista PC: llä, joten olisi järkevää, että yritys haluaisi pitää sen virhetön. Turvallisuustutkija Artem Moskowsky, joka löysi virheen, jonka avulla käyttäjät pääsivät käsiksi toimiviin Steam-pelinäppäimiin, maksettiin löydöstään 20 000 dollaria.

'Todennettu käyttäjä voi ladata aiemmin luodut CD-avaimet peliin, johon hänellä ei yleensä ole pääsyä.' Valve selittää HackerOnessa raportti .

Moskowsky löysi ongelman ensimmäisen kerran elokuussa, ja Valve onnistui ratkaisemaan sen vasta äskettäin. 11. elokuuta Moskowskylle maksettiin 15 000 dollarin virhepalkkio 5000 dollarin bonuksella. Valve väittää, että tämä avainten luontimenetelmä on sidottu tarkastuslokeihin eikä ole todisteita siitä, että joku väärinkäisi tätä virhettä.

'Tarkastuslokeja ei ohitettu tällä menetelmällä, eikä näiden tarkastuslokien tutkiminen osoittanut tämän virheen aikaisempaa tai jatkuvaa hyväksikäyttöä.'

Puhuminen Rekisteri löytöstään Moskowsky sanoo, ”Tämä virhe havaittiin satunnaisesti tutkittaessa verkkosovelluksen toiminnallisuutta. Sitä voisivat käyttää kaikki hyökkääjät, joilla oli pääsy portaaliin. '

Kuten luultavasti arvata suuresta voitosta, tämä oli erittäin vakava asia, ja Valven korjaamiseen kului ainakin pari viikkoa. Yhdessä tapauksessa Moskowsky oli onnistunut hankkimaan 36 000 Steam-avainta Portal 2: lle, nimikkeelle, joka myydään Steam-myymälästä 9,99 dollaria.

”Haavoittuvuuden hyödyntämiseksi oli tarpeen tehdä vain yksi pyyntö. Onnistuin ohittamaan pelin omistajuuden tarkistamisen muuttamalla vain yhtä parametria. Sen jälkeen voisin syöttää minkä tahansa tunnuksen toiseen parametriin ja saada kaikki avaimet ”, tutkija jatkaa.