Błąd wstrzykiwania HTML w Counter-Strike 2: wykorzystany do wstrzykiwania obrazów i kradzieży adresów IP, teraz naprawiony

Aktualności dotyczące gwary CS2

Według raportu BleepingComputer, początkowo uważano, że błąd ten jest poważną luką w Cross-Site Scripting (XSS), ostatecznie odkryty przez użytkowników, którzy byli świadkami wstrzykiwania obrazów w panel głosowania. Chociaż początkowo używano go w celach humorystycznych, niektórzy gracze nadużywali tej luki, aby kraść adresy IP za pomocą osadzonego skryptu do logowania adresów IP.

Luka:

CS2 wykorzystuje interfejs Panorama Valve, który w dużej mierze polega na CSS, HTML i JavaScript dla swojego układu. Deweloperzy mogą konfigurować pola wprowadzania tak, aby akceptowały zarówno HTML, jak i oczyszczają go do zwykłego ciągu znaków. Niestety, niektóre pola w CS2 były skonfigurowane tak, aby akceptować niefiltrowany HTML. To pozwoliło złośliwym użytkownikom na wstrzykiwanie dowolnego kodu HTML, co skutkowało wstrzykiwaniem obrazów oraz kradzieżą adresów IP.

Potencjalne złośliwe użycie:

Chociaż początkowe raporty skupiały się na wstrzykiwaniu obrazów w celach kpin, potencjał złośliwego użycia był znaczący. Skradzione adresy IP mogły być wykorzystane do przeprowadzania ataków DDoS, zakłócania rozgrywki, a nawet powodowania rozłączeń meczu.

Luka załatana:

W odpowiedzi na raporty, Valve wydało małą aktualizację (około 7 MB), która usuwa lukę. Ta aktualizacja oczyszcza wszystkie wprowadzone dane HTML do zwykłego ciągu znaków, uniemożliwiając wykonanie złośliwego kodu i zapewniając, że obrazy są wyświetlane jako tekst, a nie renderowane.

Zalecenia:

Mimo że luka jest teraz załatana, graczy nadal zachęca się do podjęcia następujących środków ostrożności:

• Zaktualizuj CS2 do najnowszej wersji. Zapewni to, że masz załataną wersję i jesteś chroniony przed luką.
• Bądź ostrożny wobec podejrzanych linków i obrazów. Nie klikaj w podejrzane linki ani obrazy, zwłaszcza tych pojawiających się w interfejsie gry.
• Zgłaszaj podejrzaną aktywność. Jeśli napotkasz jakąkolwiek podejrzaną aktywność, natychmiast zgłoś ją Valve.

Dzięki stosowaniu tych zaleceń gracze mogą pomóc zapewnić sobie bezpieczne i przyjemne doświadczenie z CS2.

Źródło : www.bing.com