情報セキュリティ研究・コンサルティング企業のAtredis Partnersは10月28日、Steamの脆弱性に関する調査結果を公開しました。
端末間の通信処理に脆弱性
今回、セキュリティ研究者のBryan Alexander氏らはSteamの安全性について調査し、「リモートコード実行」に関する問題2件と、「ローカル権限昇格」に関する問題4件を発見したと報告。Windows環境で確認した問題と、その実証結果を紹介しています。
別のPCから標的のPCでプログラムを実行させるリモートコード実行の問題については、同一アカウントでログインしているSteamクライアント間の通信処理で発見。レポートでは、ダウンロードスケジュールの変更を通知するメッセージと、ゲームのインストール・アップデート状況を通知するメッセージの処理に、それぞれ不備があったと説明しています。
攻撃には攻撃者が標的と同じSteamアカウントで認証されたクライアントを操作できることが前提に。Alexander氏らは、その条件下で情報漏えいを引き起こす別のバグも組み合わせ、標的側の利用者がリンクをクリックしたり、ファイルを開いたりする追加操作を必要としない「ゼロクリック」でのコード実行を実証したとしています。
一方、ローカル権限昇格はPC内で本来持たない管理者権限などを不正に得るもので、今回の調査ではゲームのインストール用スクリプトの処理を悪用し、プログラムをSYSTEM権限で実行できる問題などが報告されました。
なお、Alexander氏によると、今回の問題はすべてValveのHackerOneプログラムを通じて報告済みとのこと。公開した内容は、修正済みもしくは開示期限（公開までの期限）を経過したものとしています。
今回実証されたリモートコード実行は、不特定多数のPCを外部から無差別に狙えるものではなく、「同一のSteamアカウントにログインできる状態」が必要となります。そのため、一般的な利用環境において即座に第三者から攻撃を受けるリスクは低いものと思われますが（さらにはValveにも報告済み）、昨今はサイバー攻撃や情報流出が頻発していると考えると、今回の件に限らず心配なところです。
