Valve выпустила обновление для клиента Steam, которое ликвидирует опасную ошибку. Исследователь информационной безопасности Натаниэль Тейс, который также известен как XMPPwocky, выявил несколько уязвимостей. По его словам, злоумышленник, соблюдая определенные условия, мог заполучить доступ к трафику пользователей, осуществлять перехват паролей и просматривать их в незашифрованном виде.
Тейс рассказал в блоге на steamdb.info, что выявил проблему в системе аутентификации, поскольку специалистам Valve не удалось обеспечить высокий уровень защиты используемого MAC-кода. Благодаря этому, исследователь осуществил атаки типа man-in-the-middle с использованием replay, провоцировавшие блокировку ни в чем неповинных пользователей со стороны модуля Valve Anti-Cheat или компрометировавшие их пароли, вследствие чего злоумышленник мог их просмотреть в незашифрованном виде. Это стало возможно, так как исследователь осуществил атаки типа padding oracle, в результате чего ему удалось восстановить по частям содержимое некоторых секретных идентификаторов.
Как рассказал Тейс, специалисты Valve менее чем через 12 часов выпустили временное исправление, а релиз полноценного патча произошел меньше чем через сутки после того, как исследователь проинформировал компанию о проблеме.
По словам Тейса, помощь в исследовании ему оказал его друг, который известен как Zemnmez. Поскольку Valve не имеет официальной программы вознаграждения для тех, кто ищет уязвимости, в качестве благодарности оба исследователи были включены в зал славы Valve’s Security, а также получили уникальные предметы, используемые в одной из игр от Valve.