Un chercheur en sécurité vient de dévoiler l’existence d’une faille Zero Day dans le client Windows de Steam. Elle a été ignorée par Valve si bien que Vasily Kravets a publié des détails pour l’exploiter.
Ce problème a été découvert lors d’une vérification de sécurité du client Windows de Steam. La faille est complexe mais son exploitation est dangereuse pour l’utilisateur et son ordinateur. Selon Vasily Kravets, elle permet à tout programme de s’exécuter avec les droits les plus élevés possibles. En théorie, un pirate qui publie une application via Steam peut infecter facilement un PC.
Steam, une faille Zero Day toujours pas corrigée
Bizarrement Valve ne s’est pas empressé de corriger le problème. Selon les premières déclarations de Valve cette faille n’était pas exploitable. Le chercheur a alors pris la décision de prouver le contraire sur HackerOne en publiant une méthode pour déposer des fichiers à des emplacements arbitraires sur un PC exécutant Steam. Toutes les étapes de cette méthode ne sont pas en encore disponibles pour “monsieur tout le monde”. L’objectif est de laisser un peu de temps à Valve pour apporter les corrections nécessaires avant une publication « grand public ».
Pour le moment pas de changement de position du coté de Valve. L’entreprise semble ignorer le problème. Une mise à jour du client Steam a eu lieu mais elle ne colmate pas cette faille.
Plus précisément, le fix a été publié par Valve le 13/08, mais est “bypassable”. Du coup, officiellement (pour Valve), c’est corrigé alors qu’en fait non. Un peu flippante comme faille (pour résumer, Steam donne les full privileges à toutes les apps que l’on lance). Pas très sécure tout ça…