„Hacker“ gauna 20 000 USD iš „Valve“ už tai, kad atrado „Steam“ klaidą, generuojančią nemokamus „Steam“ raktus

Garai

„Valve's Steam“ yra viena populiariausių ir sėkmingiausių skaitmeninio platinimo platformų asmeniniame kompiuteryje, todėl būtų prasminga, kad bendrovė norėtų, kad joje nebūtų klaidų. Saugumo tyrėjui Artemui Moskowsky, kuris rado klaidą, leidžiančią vartotojams patekti į veikiančius „Steam“ žaidimo raktus, už jo radinį buvo sumokėta 20 000 USD.

„Patvirtintas vartotojas galėjo atsisiųsti anksčiau sugeneruotus CD raktus žaidimui, kurio paprastai neturėjo prieigos“, Vožtuvas paaiškina „HackerOne“ ataskaita .

Pirmą kartą problemą „Moskowsky“ atrado dar rugpjūtį, o „Valve“ pavyko ją išspręsti visai neseniai. Rugpjūčio 11 d. „Moskowsky“ buvo sumokėta 15 000 USD už klaidą ir 5000 USD premija. „Valve“ tvirtina, kad šis raktų generavimo būdas yra susietas su audito žurnalais ir kad nėra duomenų, kad kas nors piktnaudžiautų šia klaida.

„Audito žurnalai nebuvo apeiti naudojant šį metodą, o šių audito žurnalų tyrimas neparodė jokio ankstesnio ar nuolatinio šios klaidos naudojimo.“

Kalbėdamas su Registras apie savo radinį, sako Moskovskis, „Ši klaida buvo atrasta atsitiktinai tiriant žiniatinklio programos funkcionalumą. Jį galėjo naudoti bet kuris užpuolikas, turintis prieigą prie portalo “.

Kaip tikriausiai atspėsite iš didelių išmokų, tai buvo labai rimta problema, o „Valve“ užtruko bent porą savaičių. Vienu atveju „Moskowsky“ pavyko įsigyti „Portal 2“ - 36 000 „Steam“ raktų. Šis pavadinimas „Steam“ parduotuvėje parduodamas už 9,99 USD.

„Norint išnaudoti pažeidžiamumą, reikėjo pateikti tik vieną prašymą. Man pavyko apeiti žaidimo nuosavybės teisės patikrinimą pakeičiant tik vieną parametrą. Po to galėčiau įvesti bet kurį ID į kitą parametrą ir gauti bet kokį raktų rinkinį “. tyrėjas tęsia.