Pesquisadores da Atredis encontram falhas de LPE e RCE no Steam para Windows

Pesquisadores da Atredis, uma empresa de segurança, revelaram a descoberta de seis vulnerabilidades críticas no Steam para Windows, a plataforma de distribuição de jogos da Valve. Estas falhas incluem quatro bugs de escalonamento de privilégios locais (LPE) e dois de execução remota de código (RCE). As LPEs exploram o serviço SYSTEM do Steam, abusando de listas de permissão para scripts de instalação, carregamento de módulos e instalação de drivers. Um LPE notável envolve o uso da função AddInstallScriptToWhitelist na interface IClientInstallUtils, que permite adicionar binários a uma lista de permissões sem verificação adicional, facilitando a execução de código arbitrário. Outro LPE explora a interface IClientModuleManager, onde é possível forçar o serviço a carregar e executar DLLs arbitrárias, contornando a verificação de assinatura RSA. Já os bugs RCE, identificados como stack overflows nos handlers de download-schedule e app-status, bem como um vazamento de memória não inicializada com ponteiros do steamclient64, permitem a execução de código arbitrário sem interação do usuário (zero-click).

A Atredis divulgou provas de conceito (PoCs) e explicou que as vulnerabilidades foram reportadas à Valve através do programa HackerOne, com todas as correções já implementadas ou dentro do prazo de divulgação. A combinação de um vazamento de memória com um overflow possibilitou a criação de um RCE zero-click usando uma cadeia ROP (Return-Oriented Programming). A abrangência da plataforma Steam, com milhões de usuários diários, torna estas descobertas relevantes, evidenciando a complexidade da segurança em aplicações que interagem com múltiplos componentes, como renderização de conteúdo web e sincronização de estados.

Para profissionais de segurança da informação, a descoberta destas vulnerabilidades no Steam ressalta a importância de auditorias de segurança contínuas em softwares de larga escala. As falhas de escalonamento de privilégios locais (LPE) demonstram como componentes legítimos, como listas de permissão (allowlists) ou carregadores de módulos, podem ser explorados para ganhar controle de SYSTEM. Isso reforça a necessidade de implementar validações rigorosas em todas as fases da execução de código e manipulação de arquivos.

As vulnerabilidades de execução remota de código (RCE) via stack overflows e vazamento de memória evidenciam a criticidade da higiene do código e do tratamento de memória em aplicações complexas, especialmente aquelas que processam mensagens de rede. A capacidade de explorar um RCE zero-click é particularmente preocupante, pois permite ataques sem interação do usuário, aumentando o risco de comprometimento de máquinas de milhões de usuários. Embora as correções já tenham sido aplicadas, este caso serve como um alerta para a vigilância constante contra vetores de ataque em softwares amplamente utilizados.