Hacker mottar $ 20.000 fra ventil for å oppdage Steam Bug som genererer gratis dampnøkler

Damp

Valve's Steam er en av de mest populære og vellykkede digitale distribusjonsplattformene på PC-en, så det vil være fornuftig at selskapet vil holde det feilfritt. Sikkerhetsforsker Artem Moskowsky, som fant en feil som tillot brukere å få tak i fungerende Steam-spillnøkler, fikk utbetalt $ 20.000 for funnet.

'En autentisert bruker kan laste ned tidligere genererte CD-nøkler for et spill som de normalt ikke ville ha tilgang til,' Valve forklarer i HackerOne rapportere .

Problemet ble først oppdaget av Moskowsky tilbake i august, og Valve klarte å løse det bare nylig. 11. august fikk Moskowsky utbetalt en bugpremie på $ 15.000 med en $ 5000 bonus. Valve hevder at denne metoden for å generere nøkler er knyttet til revisjonslogger, og at det ikke er bevis for at noen misbruker denne feilen.

'Revisjonslogger ble ikke omgått ved hjelp av denne metoden, og en undersøkelse av disse revisjonsloggene viste ingen tidligere eller pågående utnyttelse av denne feilen.'

Snakker med Registeret om funnet hans, sier Moskowsky, “Denne feilen ble oppdaget tilfeldig under utforskningen av funksjonaliteten til en webapplikasjon. Den kunne ha blitt brukt av enhver angriper som hadde tilgang til portalen. ”

Som du sannsynligvis vil gjette fra den store utbetalingen, var dette et veldig alvorlig problem, og det tok Valve minst et par uker å lappe. I ett tilfelle hadde Moskowsky klart å skaffe 36.000 Steam-nøkler til Portal 2, en tittel som selges for $ 9,99 på Steam-butikken.

“For å utnytte sårbarheten var det nødvendig å bare komme med en forespørsel. Jeg klarte å omgå verifisering av eierskap til spillet ved å bare endre en parameter. Etter det kunne jeg legge inn hvilken som helst ID i en annen parameter og få et sett med nøkler, ” fortsetter forskeren.