Valve Steam Client for Windows提權漏洞安全通告

發布時間 2019-08-12

? 漏洞編號和級別


CVE編號:CVE-2019-14743,危險級別:高危,CVSS分值:官方未評定


影響版本


受影響的版本


Valve Steam Client for Windows 2019-08-07及之前版本。


漏洞概述


Valve Steam是美國Valve公司的一套游戲發行管理平臺。該平臺提供數字版權管理、多人游戲、流媒體和社交網絡服務等功能。


由于Steam 的注冊用戶超過一億,其中數百萬用戶會同時玩游戲,因此這類漏洞的風險很嚴重,可被惡意軟件濫用于實施一系列惡意活動。


研究人員發現只需從HKLM \ Software \ Wow6432Node \ Valve \ Steam \ Apps下的子項創建符號鏈接到安全的注冊表項,然后重新啟動服務即可修改任何注冊表項。這可以允許修改以SYSTEM權限運行的服務,以便它啟動具有提升權限的其他程序。本地攻擊者可利用該漏洞獲取NT AUTHORITYSYSTEM權限。


漏洞驗證


POC: https://gist.github.com/enigma0x3/03f065be011c5980b96855e2741bf302。


修復建議


目前廠商暫未發布修復措施解決此安全問題,建議使用此軟件的用戶隨時關注廠商主頁或參考網址以獲取解決辦法:

https://www.valvesoftware.com/


參考鏈接


https://www.bleepingcomputer.com/news/security/steam-zero-day-vulnerability-affects-over-100-million-users/