半肾
精华
|
战斗力 鹅
|
回帖 0
注册时间 2014-11-28
|
来源：https://steamcn.com/t512364-1-1
昨天在reddit看到的瓜越来越热闹了有没有搞网安的dalao出来分析一哈
消息来源：reddit
发现者：Steam Windows Client Local Privilege Escalation 0day
媒体：Severe local 0-Day escalation exploit found in Steam Client Services
漏洞本身非常简单。Steam为某些内部目录的安装“Steam Client Service（Steam客户端服务）”服务。任何来自“用户”组的用户都可以启动和停止服务。
结论是在安装了Steam的Windows电脑上能使用最高权限运行任何程序。
6月15日，Vasily Kravets通过HackerOne第一次向Valve报告了这个漏洞，6月16日HackerOne的员工评审将报告标记为“不适用”，原因是“攻击需要在用户文件系统的任意位置删除文件”。经过讨论，7月2日HackerOne工作人员确认了漏洞并将其提交给Valve安全团队进行审核。7月20日报告被标记为“不适用”，原因是“攻击需要在用户文件系统的任意位置删除文件” 和“攻击需要物理访问用户设备”。8月7日在初次报告提交的45天后，Vasily Kravets公开了漏洞希望Steam开发人员进行一些安全性改进。
Vasily Kravets简介
多年来我一直在寻找漏洞，我想我已经看到了够多，但是有一部分工作我无法理解和接受。这绝对是供应商不愿意接受关于漏洞和问题的信息。我明白，当有人直接告诉你，你犯了一个错误，而且很可能不止一个错误时，这是非常不愉快的。很难从公共渠道确认是否存在问题，工作人员是否做错了什么。但是，我不明白为什么一个漏洞报告会被拒绝。
Vasily Kravets的猜测
我对valve感到失望，一家严肃的大公司对安全的重要性发表了令人伤心的言论，同时也让你的电脑失去了防御能力。事实上，Steam允许为您运行的每个程序授予最高权限。
具有讽刺意味的是，一个启动程序(实际上是为在您的计算机上运行第三方程序而设计的)允许它们默默地获得最高权限。你确定一个由未知开发者制作的垃圾免费游戏会安全吗?你相信90%的折扣不会使你变成一个浑然不知的矿工吗?当然，有些威胁甚至在没有管理员权限的情况下仍然会运行。然而，恶意程序的高权限会显著增加风险——程序可以禁用杀毒软件，在暗处隐藏和更改几乎任何用户的任何文件，甚至窃取私人数据。
由于Steam的流行，有很多潜在的受害者。2015年，Valve报告称Steam上有1.25亿活跃用户。当然并不是所有的Steam用户都将Windows作为操作系统，但大多数用户都是这样的。一些用户在一台机器上有多个“活动”帐户，但是问题的规模仍然令人印象深刻。
如果没有巧合，并且是被设计成不安全的会怎么样?如果steam是一种合法的后门呢？给vavle定罪是不可能的，但把所有的事实罗列：
1) 存在易被利用、可靠、权限高的漏洞。似乎还不止一个，根据这段推文
2)很容易发现漏洞。我不确定我是不是第一个发现它的人，但我是第一个分析它的人。
根据reddit网友评论，2015年就有人提交过类似漏洞。
3）Valve拒绝了关于EoP(权限提升)漏洞和同样漏洞的报告。此外，特别减少了传入报告的范围，以排除EoP(权限提升)报告。
在我看来，Valve希望这些EoP(权限提升)漏洞出现在软件中。
这看起来不太好。我不建议删除Steam，但是你应该小心使用它。Valve不关心你的安全，所以你是唯一应该关心的人。
彩蛋
在编写本文期间发生了一件非常有趣的事情:
7月20日-在报告被拒绝后，我通知H1我将在7月30日后公开披露漏洞的细节。
8月2日-又有一名H1员工出现在帖子中，禁止我泄露。
本文将在7月30日之前准备好发布(之所以选择这个日期，是因为自最初的漏洞报告发出以来，截止日期为45天)。因此，在我于7月20日发出这条信息的两周后，一个人出现了，他告诉我，我的报告被标记为不适用，他们结束了讨论，不向我提供任何解释。而且，他们不想让我披露他们的漏洞。与此同时，Valve甚至一个字也没有说。不，伙计们，事情不该是这样的。你不尊重我的工作，这就是我不尊重你的原因——我没有理由不发表这份报告。很可能我在H1会因此被禁止，但这不会让我心烦。
昨天(2019年8月6日)Steam进行了更新。问题没有被修复。
ars的测试
1、Demonstrate that I cannot write to C:\Windows\System32\. System error message is in red.
2、Demonstrate that I cannot arbitrarily monkey around with registry keys under HKLM\CurrentControlSet\Services. System-error message is in red.
3、Delete the NSIS installer key for Steam (to give myself a target for shenanigans), then recreate it as a symlink to msiserver's registry key. Success in green.
4、Demonstrate that Steam's NSIS key now points to Windows' msinstaller key. Success in green.
5、Attempt to modify the msiserver key to run my shenanigans. I haven't started Steam Client Services yet, so this fails. System-error message in red.
6、Start Steam Client Services, then modify the msiserver key once Steam has helpfully opened it up for me. Success in green.
7、Start the newly-modified msiserver service. msiserver runs as LOCALSYSTEM, so it successfully creates a file under C:\Windows\System32. Success in green.
有兴趣的dalao可以在vm跑跑看regln-x64.exe
Windows 用户帐户控制(uac)从未在此过程中触发，整个过程只需要几分钟。测试没有安装任何Steam游戏，只安装了Steam。
延伸
SteamEoP.ps1
Steam Windows Client Local Privilege Escalation 0day
Valve-bug bountry program
The following items are considered out-of-scope for all Valve offerings:
Hypothetical issues that do not have any practical impact.
Attacks that require social engineering/phishing.
Attacks that require physical access to the user’s device.
Attacks that require the ability to drop files in arbitrary locations on the user's filesystem.
User enumeration without any further impact.
Clickjacking without a well-defined security/privacy risk.
Open redirects or linkfilter bypasses that cannot be leveraged to programmatically exfiltrate sensitive information (e.g., cookies, OAuth tokens, etc.).
Disclosure of software version numbers (we maintain forks of several tools, and apply security patches accordingly).
Vulnerabilities reported by use of automated tools/scanners, without accompanying validation / POC.
Content Spoofing / Text Injection that cannot be leveraged for XSS or sensitive data disclosure.
Host header injection without a specific proof of concept.
Self XSS or XSS that affects only out-of-date browsers.
Denial of Service Attacks.
Reports against Source Engine tools, e.g. Hammer, Source Filmmaker.
Reports that require the user to open a crafted game demo file.
|
|
沪公网安备 31010702007642号 )
发表于 2019-8-9 15:53
原来是要点“取消”
