Steam corrige une faille permettant d’injecter des malwares sur les profil de membres

Une faille de sécurité type cross-site scripting (XSS) a été découverte sur la plateforme de jeu Steam par un développeur. Celle-ci permettait de diffuser des malwares directement depuis le profil des membres de la plateforme. Steam a rapidement corrigé le bug.

Sur son compte Twitter, celui qui se fait appeler Cra0kalo, développeur et animateur 3D australien, livre une démonstration de la faille découverte sur Steam.

So you can do Cross-site scripting (XSS) on Steam right now. DO NOT load anyones profile. @mikko meta http-equiv=”refresh” works this is bad pic.twitter.com/eyqODlT6Yt

— Cra0kalo (@cra0kalo) 7 février 2017

Une faille rapidement corrigée

Une faille de sécurité, appelée cross-site scripting (XSS), qui permet d’injecter du contenu sur une page web. celui-ci se déploie ensuite sur votre navigateur.

La vulnérabilité découverte par Cra0kalo permet d’introduire un malware en langage de script sur le profil d’un membre de la plateforme. Ce type d’attaque est généralement déployé pour rediriger vers du phishing (ou hameçonnage), une page chargée de logiciels malveillants, ou pour subtiliser des informations, comme les cookies.

Pour apporter la preuve de sa découverte, Cra0kalo a partagé un lien permettant de télécharger un logiciel, inoffensif lui, inséré par le développeur.

@showthread example one I made https://t.co/k7qjH1zgp0

— Cra0kalo (@cra0kalo) 7 février 2017

Steam a rapidement réagi et corrigé la faille.