Falha grave de segurança na Steam, afeta usuários do Windows 10 - Diolinux - O modo Linux e Open Source de ver o Mundo

Responsive Ad Slot

Falha grave de segurança na Steam, afeta usuários do Windows 10

Uma recente falha na segurança do Windows 10, que afeta desde os drivers até quem joga na Steam.

quinta-feira, 15 de agosto de 2019

/ por Ricardo
Na última semana, usuários do Windows 10 estão com algumas falhas graves de seguranças, que afetam desde a parte dos drivers, até quem utiliza a Steam para jogar.

Falha grave de segurança no Windows 10, afeta usuários da Steam






A primeira falha encontrada foi na DefCon 2019 (conferência sobre segurança digital), referente ao design da arquitetura dos drivers, fazendo com que hardwares de 20 fabricantes diferentes estivessem sujeito a invasões.

A empresa responsável por descobrir essa brecha, foi a Eclypsium, que através do seu chefe da divisão de pesquisa em segurança, Mickey Shkatov, comentou que o motivo da ocorrência dessas falhas, são algumas más práticas na hora de desenvolver para esses sistemas - sendo mais específico,  o seu kernel - que, ao invés de criar rotinas de execuções específicas, criam códigos flexíveis, podendo assim ser utilizado para diversas aplicações, o que acaba colocando em risco a segurança do programa e do sistema.

A Eclypsium já notificou as principais fornecedoras de hardware, como: ASRock, ASUSTeK Computer, ATI Technologies (AMD), Biostar, EVGA, Getac, GIGABYTE, Huawei, Insyde, Intel, Micro-Star International (MSI), NVIDIA, Phoenix Technologies, Realtek Semiconductor, SuperMicro e
Toshiba. Até o momento, somente Intel e Huawei já lançaram uma correção para a BIOS. E as empresas Phoenix e a Insyde devem lançar nos próximos dias um update também.

Mas e a Steam? ...


Já a falha referente da Steam, foi descoberta pelo pesquisador russo Vasily Kravets, que encontrou uma brecha na hora da instalação do Steam Client Service para o Windows 10. Na hora que vai ser instalado no sistema, o programa se instala com totais privilégios de sistema no Windows, e segundo o pesquisador, um usuário com acesso mínimo poderia ter acesso aos registros e assim “elevar” os seus privilégios no sistema (se tornando o “root”), podendo criar meios para que o PC fosse controlado.

A falha é referente a manipulação de links simbólicos (“atalhos” que apontam para um arquivo ou diretório do sistema) que faz com que o cliente da Steam abra um programa com permissões de administrador, chamado comumente como “escalada de privilégios”.

A falha foi comprovada por Kravets, ao executar o cliente Steam com o Windows Installer (o “Instalador” de programas no Windows) com as  permissões de administrador e instalando um app sem que seu usuário tivesse permissões para isso. Isso poderia ser usado, por exemplo, para instalar malware ou outra ameaça no PC do usuário.

O pesquisador ainda reportou o bug para a Valve no dia 15 de junho deste ano (2019) e no dia seguinte foi rejeitado, com a alegação que “ os ataques exigem a capacidade de baixar os arquivos em locais aleatórios no sistema de arquivos do usuário.”. Ele contestou e reabriu o relatório e foi fechado novamente no dia 20 de julho, pelo mesmo motivo do anterior e ainda com uma mensagem de observação “Ataques que exigem acesso físico ao dispositivo do usuário.”

A falha foi divulgada somente 45 dias depois de reportada via HackerOne, que em média se espera 90 dias para isso, se dando o tempo devido para as empresas poderem corrigir o problema.

Mediante a isso, a Valve lançou dois updates para o cliente Steam, um no dia 9 e outro no dia 13 de agosto, corrigindo essas falhas.


steam_update.png



Para ver o relatório completo do pesquisador, basta acessá-lo aqui.

Muitos dos nossos amigos e leitores utilizam Windows, então fica a dica, mantenham o sistema sempre atualizado para evitar problemas e fiquem de olho nas sugestões de correções dos fabricantes para evitar dores de cabeça.

Este artigo não acaba aqui, continue trocando uma ideia lá no nosso fórum.

Espero você até a próxima, um forte abraço.
_____________________________________________________________________________
Viu algum erro ou gostaria de adicionar alguma sugestão a essa matéria? Colabore, clique aqui.


Blog Diolinux © all rights reserved
made with by templateszoo