A Blizzard összes játékát érintette egy súlyos sebezhetőség

A vállalat már kiadott egy javított verziót, de ez csak átmeneti, még fejlesztenek rajta.

A Google neves hibavadásza, a Project Zero csapat tagja,Tavis Ormandy újabb nagy súlyú bejelentést tett tegnap: a szakember azt állítja, hogy egy olyan súlyos sebezhetőséget talált a Blizzard összes játékában (vagyis érintett többek között a World of Warcraft, az Overwatch, a Diablo III, a Hearthstone és a Starcraft II is), mely egy támadó számára távoli kódfuttatást tesz lehetővé.

A játékhoz a felhasználónak egy kliens alkalmazást kell telepítenie, a Blizzard Update Agentet, és Ormandy ebben talált biztonsági rést, mely a hackernek lehetővé teszi az úgynevezett DNS Rebinding támadást, amikor egy preparált weboldalról hozzá lehet férni a felhasználó kliensének beállításaihoz. (Hasonlót hibát publikált Ormandy nemrég, amikor a Transmission BitTorrent kliensben gyakorlatilag egy ugyanilyen sebezhetőséget fedezett fel.) A probléma gyökere az, hogy a Blizzard Update Agent nem ellenőrizte a kérések forrását.

A kutató elkészített egy proof-of-concept exploitot is, és képes volt a DNS rebinding segítségével hozzáférni a hálózati meghajtókhoz, módosítani tudta a beállításokat, képes volt kártékony kódot futtatni, adatokat feltölteni stb.

Ormandy a hibáról decemberben értesítette a Blizzardot, felhívva arra a figyelmet, hogy több százmillió felhasználó van veszélyben. Egy darabig folyt is kommunikáció a szakértő és a vállalat között, de aztán december 22. után a Blizzard nem válaszolt többé Ormandynak, viszont csendben kiadtak egy új kliensverziót, amelyben már javították a hibát. Ezzel azonban a Project Zero munkatársa nem elégedett, mivel szerinte túl bonyolult megoldást választottak – Ormandy egy hosztneveket tartalmazó whitelistet javasolt, a Blizzard viszont a másik oldalról közelített, feketelistát hoztak létre. Ugyanakkor jelezték, hogy dolgoznak az Ormandy által ajánlott megoldáson, de ez időbe telik.

Előzmények