Steam含有權限擴張漏洞，波及1億用戶
https://www.ithome.com.tw/news/132344
代號為Felix的俄羅斯安全研究人員在本周揭露了Windows版的Steam客戶端程式，含有一
零時差的權限擴張漏洞，將允許駭客取得管理員權限，於系統上執行任意程式，雖然他曾
先行通報Steam，卻遭到Steam拒絕，使得Felix決定公布漏洞細節，波及超過1億的Steam
註冊用戶。
根據Felix的說明，Steam的客戶端程式有一項基於系統權限執行的Steam Client Service
功能，奇怪的是來自「使用者」（Users）群組的任何人，都有權啟用或關閉該功能，繼
之他發現所有使用者都能存取該功能的登錄機碼，也讓駭客可利用它來擴張權限。
Felix指出，這意味著只要Windows電腦安裝了Steam，駭客就可取得系統管理員權限並執
行任意程式。
Steam為美國業者Valve所開發的遊戲數位發行平台，它支援Windows、macOS、Linux、
Android與iOS等平台。根據Steam Spy的估計，Steam的全球用戶數超過2.4億，而Steam今
年7月的調查則顯示，約有71.5%的用戶使用Windows 10作業系統，代表至少有1.7億的用
戶受到該漏洞的影響。
Felix表示，他是在今年6月透過Valve，於HackerOne上執行的抓漏獎勵專案回報了該漏洞
，該漏洞已經通過了HackerOne的審核，卻被Valve打了回票，理由是：駭客必須有能力在
使用者檔案系統上置放檔案，也必須實際接觸使用者裝置，因此不適用於該專案。但當他
準備公布漏洞資訊時，Valve還曾制止他。
而在Felix公布了漏洞資訊之後，即有另一名研究人員於GitHub上釋出了針對該漏洞的概
念性驗證攻擊程式。截至新聞發布前，Valve仍未公開回應此事。
====
有中文報導了，那就來貼一下。
其實我覺得這新聞很妙....
因為這個漏洞的使用條件是駭客要實際碰到你的電腦才能使用......
阿...對方都能用我電腦了，有比搞這漏洞更簡單直接的方法吧！

都可以碰電腦了怎麼不整台搬走就好==

那是系統管理員權限 你的帳號不一定有admin權限 所以多少有用

這個真的很搞笑XD 要能碰到你的電腦才能執行的漏洞

實際接觸使用者裝置的定義是什麼？

要碰到你電腦 好喔

我想駭客一般人的定義肯定有差別

EPIC準備撰文了

就首先駭客要奪取你電腦的系統管理員權限，才能用漏洞

先推個epic

我覺得找到漏洞不給獎金就算了，但是制止公開不知道valve 是什麼打算

網咖都這樣被盜的吧

早就看破steam的手腳了

舉例來說，就像我發現本板有個水桶的漏洞

為了修漏洞吧，在修好前不想讓更多人知道

要先取得系統管理員權限 但是有了權限也不用這個漏洞了

這表示說該漏洞可能要用到實體裝置才能做吧？比方USB

有能力防止程式到你電腦為什麼一定要碰到裝置啊 有人可以解釋嗎？

主要比較奇怪的是為啥他說這個有問題機碼可以衍生到

一定要碰到裝置在以前另一個作法是藏在隨身碟autorun

我以為這篇意思是說駭客只要能用任何使用者登入這台PC

不是駭客應該也看不懂該怎麼做啦，只能瞎猜會發生啥事

啊嗯～比如說阿湯哥就不用辛苦地對工程師下藥...大概吧

是Valve覺得該碰到吧

利用插進去的autorun植入病毒，但steam哪會用到隨身碟

但後面不是有其他人釋出了針對該漏洞的概念性攻擊程式

這個漏洞還是要修好

一般人只要知道有漏洞就好，靜待v社修好出來向大家報告

我看其他文章是說用低權限去控制電腦

需不需要用物理手段是看駭客等級 不是看官方官腔說辭

要放置檔案進電腦又不是很稀奇的事

看起來是工作群組的所有人都能透過這個成為管理員

不要用電影漫畫邏輯誇大駭客 但也不要把駭客當87好嗎

只要能放一個木馬就能透過這漏洞擴張更多權限

聽起來是有點奇怪就是，先對這新聞打個問號吧

http://bit.ly/31tU727 發現者自己的英文解釋

那只是v社自己的說法好嗎？ 攻擊程式+遠端控制就可以做到了

其實這要自證很容易吧？就實際設計一個可以遠端攻擊的模擬就好

文章不是有人已經放出模擬了

駭客要用這漏洞 至少要先登入USER，才有辦法偷ADMIN權限但你的電腦給USER無密碼登入是你的錯吧更別提大部份人(家用 個人用)的預設帳號就是管理員了

發現者的英文解釋就是在講steam的伺服器權限設定呀簡單地說就是他發現伺服器定義的權限有問題，但你要從獲得保全金鑰，首先你要想辦法弄到有問題的帳號權限你才能再照著文章思路弄到伺服器的管理員權限

剛剛在reddit爬了一下，難怪人家不想管這個漏洞

steam版說有更新了 那幹嘛不給獎金= =

看那發現者的說法，應該是不用直接接觸電腦也可以利用吧？發現者認為steam那回應根本不正確，是steam想賴帳吧？不然公佈了也沒用

恩，比較有問題的是steam不想發錢給人家這點小氣八拉

我不知道為什麼要禁止發表 然後又自己修掉… 是被俄羅斯駭客拿太多次嗎XDD

大概真的是因為大前提有點太沒意義（即使這真的有漏洞）

還沒修好前禁止發表不是正常嗎...一堆遊戲公司也會禁止BUG在修好前被大肆宣傳阿

漏洞修掉本來就應該的呀不然？

E:看 STEAM比我們更木馬

STEAM應該是覺得這漏洞前提是駭客要先掌握你電腦的權限 而不是直接透過steam漏洞 在要使用這漏洞之前你的

但是設了懸賞讓人幫忙抓漏洞又不付錢這點有問題，如果根本不覺得是漏洞那根本不該禁止公佈、也不該修，就算不是很嚴重的安全性漏洞也是一個Bug

4.因為這漏洞要先拿到一定權限，那有權限何需要steam才能搞事情...這大概是不想發錢的理由吧？

電腦本身就已經被駭了 並不是steam方的問題 到這前提的情況駭客已經差不多什麼都可以做

雖然實際這真的是有漏洞就是...只能說steam這次有點小氣

其實就是一個覺得不想為了這問題付錢，一個認為做白工很不爽，不過兩者的行動感覺都沒違法，所以就看看吧

嗯，這次有點像保險公司沒付理賠金的感覺（笑

保險公司不賠理賠金很多都是當初條文沒看好就簽

STEAM就覺得這個漏洞雖然存在 但要使用的前提並不是

這篇也是不知steam獎金發放規則 而且他還用公布來威脅

登入user後要搞admin有太多方法 還真沒必要借steam的通道

Felix 的原文就把該揭露的都揭露了啊然後有位 MattNelson 做了個 PoC 在 github想確認這個 bug 的威力可以依上面關鍵字去 Google不過就像樓上說的，都有妳電腦 user 權限了要搞事還需透過 steam 嗎XD

不處理就公布是業界規則啊....google 有個團隊就是在專門找各家公司的軟體漏洞 期限到對方不處理就直接對外公布而且這個人不是拿不到錢就馬上公布 他有給steam時間修漏洞但是等不到

steam這次真的算小氣拉

Epic要高潮了

幫附一下回絕理由 https://i.imgur.com/l35Dlyl.png

理由文章有阿

原來資安專家就是靠勒索過日子啊XDDD

這樣我覺得不是勒索ㄅ 又不是你不修正就利用漏洞

可是這理由完全沒有否定這個問題的威脅啊，要能在玩家

你現在是駭客(物理)嗎？

這不是勒索啊 他有先跟steam講公開期限而且已經把漏洞完整跟steam說了 steam不給錢也能把漏洞補上

你是以為商城的網管都死了是不是？

這大概是EPIC的寫手新聞

發布的針對性程式也是你自己放進你電腦的 不就跟steam講

講那麼多你可以弄一個免費木馬遊戲呀，看你能不能上架

從他透過內部跟steam講到他公開隔了45天 中間steam隨時

從沒有法律禁止別人公佈漏洞吧

實際接觸使用者裝置

真的那麼不重要幹嘛制止公布 幹嘛在beta版修了自打臉嘛..

防止有心人找麻煩啊

就放著沒什麼關係，既然被找到了就修

https://googleprojectzero.blogspot.com google養的專門查各家漏洞的駭客小組 對方90天內不修正就直接公布

VALVE太可惡了吧 我決定今天抵制VALVE旗下所有產品

因為感覺這跟提醒拉鏈沒拉一樣 我懶的拉上 你就里民放送全村都知道我拉鏈沒拉 我就只好拉上

幹！拉鏈沒拉不要靠近我....

臭

感覺網咖就會死阿 也不能說沒啥用的漏洞

不把事情鬧大逼你拉上 萬一有變態也發現你沒拉拉鏈卻不跟別人說 還偷偷跟蹤你想犯罪就糟了 大概是這樣(?)

看到這新聞就是想網咖最危險

那應該是正妹拉鏈沒拉才對，男的沒人想理XDDD

這個漏洞主要是針對公用電腦啦 他的前提是要有user權限

蘿莉沒穿內褲 你跟她媽媽說也不理你 只好大聲叫出來

然後透過這個漏洞去執行管理員權限

呃 ... 資安日常？

一般人windows下應該就是一個使用者在用而已

網咖一樣R 想搞事+能實體接觸=直接移除admin密碼就好了

被發現漏洞是很正常的事啊 幹嘛覺得是人家想搞你

關鍵就是從User取得登錄機碼，所以也才說駭客要接觸使用者裝置，所以就還好...

steam的說法好像是 共用電腦不是我的職責所在問題是windows設帳戶就是預設可多人使用阿

天啊 太震驚了 駭客只要摸到我的電腦我就有危險 我要控告steam

都弄到管理權限了還來弄這個漏洞幹嘛XDDDDDDDD

樓上 是沒有管理權限的user能弄到管理權限

一堆資安盲急著秀無知

樓上也不能這樣說啦 畢竟這塊很少人會去深入了解

只是覺得很無謂啦 對一般人根本不會有影響阿

個人電腦用途影響不大

又一個洞，既然被爆大概一兩天內會補起來吧一般用戶沒啥影響，除非駭客能直接碰你電腦

有駭客能透過程式使用這漏洞的說法，並不限直接操作

有些電腦教室也會鎖管理者權限啦

應該是能透過攻擊程式就做到沒錯 v社說法比較像是不發獎金的藉口

應該是能放檔案到file system加上能實體接觸電腦就有提權的能力吧，上面一堆人到底在共三小

實際碰電腦才有用是Valve在嘴砲騙一般人 像電腦病毒一樣

簡單的說v社認為需要實體接觸 發現者認為不需要

網路 遠端 mail 網頁以前還有透過防毒軟體更新都能偷裝

只要有用到網路內網溝通的 鎖管理者權限是很常見的

問題不在實體不實體啥的。是因Steam破壞了原本的分級安全機制

Epic熱身中

不小心安裝攻擊程式的使用者跟實體接觸的駭客沒兩樣(?

...今天Steam Client Beta好像已經修掉了，公佈果然有用XD

不修的話會被卡巴擋掉(?

說真的，我都直接搞掉系統管理員帳戶的密碼，更改帳戶權限了，根本不需要這種漏洞。

WIN也很多漏洞對一般使用也沒差就不算漏洞了嗎

雖然不大，但發現者公開漏洞真的有良知就是

呼 好險我都用EPIC 否則可能就被駭客入侵了

EPIC 我程式直接就可以偷資訊了 才不像STEAM這麼遜

這明明超嚴重的漏洞被你們講的沒事一樣