Beter laat dan nooit, zou je denken, maar desondanks blijft het pijnlijk dat Valve nu pas een CS:GO exploit heeft gefixt waarmee hackers de pc van andere spelers konden overnemen en dat terwijl het probleem twee jaar geleden al gemeld werd.
De exploit in kwestie was beschikbaar voor alle Source games, maar alleen van Counter-Strike: Global Offensive is bekend dat de kwetsbaarheid recent nog actief was. Voor andere games werd de exploit vermoedelijk al eerder gedicht. Bij The Secret Lab, een groep van ethische hackers, wisten ze Valve het probleem twee jaar geleden al te signaleren, maar toen ze recent merkten dat het lek nog niet gedicht was, besloot men ermee naar buiten te komen. Door die extra druk kon Valve plots wel in actie komen en niet veel later werd ook de CS:GO exploit gefixt.
De exploit in kwestie kon getriggerd worden via een Steam invite, waarna de hacker de computer van de accepterende speler kon overnemen.
Een andere exploit, waarbij externe code kan uitgevoerd worden door een Team Fortress 2 community server te joinen, werd eveneens twee jaar geleden gemeld door The Secret Lab, maar werd vooralsnog niet opgelost.
Two years ago, secret club member @floesen_ reported a remote code execution flaw affecting all source engine games. It can be triggered through a Steam invite. This has yet to be patched, and Valve is preventing us from publicly disclosing it. pic.twitter.com/0FWRvEVuUX
— secret club (@the_secret_club) April 10, 2021
Good news! Valve fixed my recent exploit and gave me permissions to disclose details. That being said, I am working on a detailed technical write-up which I am going to release soon. Stay tuned!
— Florian (@floesen_) April 17, 2021
