Valve Steam Client for Windows提权误差清静通告

宣布时间 2019-08-12

? 误差编号和级别


CVE编号：CVE-2019-14743，危险级别：高危，CVSS分值：官方未评定


? 影响版本


受影响的版本


Valve Steam Client for Windows 2019-08-07及之前版本。


? 误差概述


Valve Steam是美国Valve公司的一套游戏刊行治理平台。该平台提供数字版权治理、多人游戏、流媒体和社交网络服务等功效。


由于Steam 的注册用户凌驾一亿，其中数百万用户会同时玩游戏，因此这类误差的危害很严重，可被恶意软件滥用于实验一系列恶意运动。


研究职员发明只需从HKLM \ Software \ Wow6432Node \ Valve \ Steam \ Apps下的子项建设符号链接到清静的注册表项，然后重新启动服务即可修改任何注册表项。这可以允许修改以SYSTEM权限运行的服务，以便它启动具有提升权限的其他程序。外地攻击者可使用该误差获取NT AUTHORITYSYSTEM权限。


? 误差验证


POC: https://gist.github.com/enigma0x3/03f065be011c5980b96855e2741bf302。


? 修复建议


现在厂商暂未宣布修复步伐解决此清静问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决步伐：

https://www.valvesoftware.com/


? 参考链接


https://www.bleepingcomputer.com/news/security/steam-zero-day-vulnerability-affects-over-100-million-users/