Hacker får $ 20 000 från ventil för att upptäcka ångbugg som genererar gratis ångknappar

Ånga

Valves Steam är en av de mest populära och framgångsrika digitala distributionsplattformarna på PC: n, så det vore vettigt att företaget skulle vilja hålla det felfritt. Säkerhetsforskaren Artem Moskowsky, som hittade en bugg som skulle göra det möjligt för användare att få tag på fungerande Steam-spelnycklar, fick 20 000 dollar för sitt fynd.

'En autentiserad användare kan ladda ner tidigare genererade CD-nycklar för ett spel som de normalt inte skulle ha tillgång till,' Valve förklarar i HackerOne Rapportera .

Problemet upptäcktes först av Moskowsky redan i augusti, och Valve lyckades lösa det först nyligen. Den 11 augusti fick Moskowsky ett utdelningsbelopp på $ 15 000 med en bonus på $ 5000. Valve hävdar att denna metod för att generera nycklar är knuten till granskningsloggar, och att det inte finns några bevis för att någon missbrukar detta fel.

'Granskningsloggar kringgick inte med den här metoden, och en undersökning av dessa granskningsloggar visade inte något tidigare eller pågående utnyttjande av detta fel.'

Prata med Registret om hans fynd, säger Moskowsky, ”Detta fel upptäcktes slumpmässigt under utforskningen av funktionerna i en webbapplikation. Det kunde ha använts av alla angripare som hade tillgång till portalen. ”

Som du antagligen skulle gissa från den stora utbetalningen var detta en mycket allvarlig fråga och det tog Valve minst ett par veckor att lappa. I ett fall hade Moskowsky lyckats förvärva 36 000 Steam-nycklar för Portal 2, en titel som säljs för $ 9,99 på Steam-butiken.

”För att utnyttja sårbarheten var det nödvändigt att bara göra en begäran. Jag lyckades kringgå verifieringen av ägande av spelet genom att bara ändra en parameter. Efter det kunde jag skriva in valfritt ID i en annan parameter och få valfri uppsättning nycklar, ” fortsätter forskaren.