Skip to main content

Zamów kolekcjonerski ALMANACH i odbierz darmową grę na GOG

Odkryj gatunek gier przygodowych, które oczarowały świat.

Jeśli klikniesz link i dokonasz zakupu, możemy otrzymać małą prowizję. Zobacz politykę redakcyjną.

Valve czekało 15 miesięcy na naprawienie ważnego błędu w Dota 2

Służył do infekowania komputerów.

Cztery specjalnie przygotowane serwery w Dota 2 przez piętnaście miesięcy mogły infekować komputery graczy, zanim Valve załatało lukę w zabezpieczeniach.

Błąd skatalogowany jako CVE-2021-38003 dotyczył silnika JavaScript od Google, znanego pod nazwą V8. Z technologii korzysta między innymi właśnie Dota 2. Samo Google załatało exploit już w październiku 2021 roku, lecz Valve zainstalowało tę aktualizację dopiero w ubiegłym miesiącu, zaalarmowane przez ekspertów od bezpieczeństwa w sieci.

Popularna MOBA umożliwia graczom tworzenie własnych trybów rozgrywki, z całkiem dużą swobodą. Użytkownicy nawet z podstawową znajomością programowania mogą zgłaszać propozycje do Valve, które weryfikuje je i publikuje - lub odrzuca. Hakerzy już w marcu ubiegłego roku wykorzystali lukę, by infekować komputery - opisuje firma Avast. Wszystkie cztery serwery zostały już usunięte.

Pierwszy z trybów był najwyraźniej eksperymentem, o wiele mówiącym tytule „test addon plz ignore” i opisem, który wyjaśniał, by projektu nie pobierać i nie włączać. Wewnątrz czekał bowiem exploit CVE-2021-38003. Kolejne trzy tryby były już zapewne celowym działaniem, stawiając na dużo bardziej „skryte” podejście.

Działanie było podobne. Przygotowany tryb włączał się normalnie, lecz w tle spreparowany kod JavaScript kontaktował się z serwerem, a ten następnie automatycznie go pobierał i uruchamiał po stronie użytkownika. Nie trzeba chyba dodawać, że takie zdalne uruchamianie skryptów na nieświadomym komputerze może być dużym problemem.

Dość powiedzieć, że w klasyfikacji NIST (Narodowy Instytut Standardów i Technologii w USA) błąd CVE-2021-38003 otrzymał 8,8 punktów w 10-stopniowej skali. Nie jest obecnie jasne, dlaczego Valve tak długo zwlekało z aktualizacją silnika V8.

Read this next