Steam używa niezabezpieczonej, nieaktualnej przeglądarki Chromium
- Kategoria: Gry
Valve zintegrowało niestandardową wersję przeglądarki internetowej Chromium w swoim kliencie Steam, która wyświetla zawartość sieciową użytkownikom Steam.
Jeśli ostatnie kilka tygodni coś pokazało, to jest to, że niestandardowe wersje Chromium lub Chrome częściej stanowią zagrożenie dla bezpieczeństwa.
Analiza Google Niedawno implementacje przeglądarki Chromium innych firm i doszli do wniosku, że systemy użytkowników są mniej bezpieczne, mimo że twierdzą inaczej.
Głównym powodem tego było to, że firmy wyłączyły funkcje zabezpieczeń przeglądarki Chromium lub je omijały.
Klient Steam firmy Valve używa niestandardowa wersja Chromium i okazuje się, że ta wersja jest również niepewna.
Chromium Embedded Framework (CEF) to rozszerzenie silnika renderowania przeglądarki Chromium, projektu typu open source, który jest składnikiem Google Chrome.
Klient Steam w systemach Windows i OS X wykorzystuje dostosowaną wersję CEF do renderowania treści internetowych.
Użytkownik zgłoszone jego ustalenia w oficjalnym repozytorium Valve Software Github, stwierdzając, że wbudowana wersja Chromium jest przestarzała i działa bez piaskownicy.
Przeglądarka Chromium na Steamie jest oparta na wersji 47, podatnej i nieaktualnej wersji.
Chromium domyślnie działa na Steam z --no-sandbox.
Najnowsza wersja Chromium to obecnie wersja 50, co oznacza, że przeglądarka Chromium używana przez Steam jest nieaktualna.
Google naprawił kilka problemów z bezpieczeństwem w nowszych wersjach Chromium, pozostawiając wrażliwą na nie wersję Steam przeglądarki.
Plik piaskownica , domyślnie włączona w Chromium, pozwala na tworzenie procesów w piaskownicy, które działają w restrykcyjnych środowiskach. Piaskownica chroni system bazowy i zawarte w nim dane między innymi przed złośliwymi procesami.
Użytkownicy przeglądarki Chrome mogą użyć parametru --no-sandbox, aby wyłączyć piaskownicę w przeglądarce Chrome, ale spowoduje to usunięcie jej funkcji ochronnych i pozostawienie systemu otwartego na ataki.
Oba błędy zostały rozpoznane przez Valve i do każdego z nich został przypisany użytkownik. Docelowy kamień milowy nie jest jeszcze wymieniony i nie ma wskazań, kiedy Valve naprawi problemy z bezpieczeństwem.
Użytkownicy Steam powinni na razie rozważyć użycie zewnętrznej, aktualnej przeglądarki internetowej zamiast wbudowanej przeglądarki internetowej Steam, dopóki Valve nie naprawi problemów.
Rob Joyce, szef NSA's Tailored Access Operations (TAO) wzmiankowany ostatnio Steam jest popularnym wektorem ataku.
