Valve stoppt Zero-Day-Exploit für Steam in der neuesten Beta-Version

Eine interessante Kehrtwende im Fall der Schwachstelle im Steam-Client für Windows: Nachdem Valve sich zunächst weigerte, den Zero-Day-Exploit als Sicherheitslücke anzuerkennen, wurde das Problem nun in einer Beta-Version gefixt. Jetzt wird doch noch alles gut: Valve hat laut einer eigenen Meldung im Steam-Forum jetzt die Sicherheitslücke geschlossen, die es Unbefugten zuvor ermöglichte, eine Rechteausweitung unter Windows auszuführen und so beliebige Prozesse auf dem PC zu starten. Durch diese Schwachstelle hatte sich Valve zuvor viel Ärger eingehandelt - und zwar gar nicht durch den Umstand, dass die Sicherheitslücke existiert, sondern durch den Umgang mit dem Fehler. Valve hatte die an sie gemeldete Sicherheitslücke erst ignoriert, dann mehrfach die Einreichung des Entdeckers gelöscht und schließlich als "ungültig" erklärt. Daraufhin wurde ein Zero-Day-Exploit bei Github veröffentlicht - und zwar schon nach rund 45 Tagen nach der Entdeckung der Schwachstelle. Das ist zwar unüblich, da Valve aber den Fehler nicht als solchen anerkennen wollte, hielt der Entdecker das für notwendig, um Valve zum Umdenken zu bewegen und die Nutzer vor der Gefahr zu schützen.
Neues Steam-Design... ...zeigt sich

Das war wohl ein ausschlaggebender Punkt

Das half dann auch. Nach diesem Schritt fing man dann wohl an bei Valve, sich doch ein paar ernste Gedanken zu dem Problem zu machen.

Valve schreibt nur kurz und knapp dazu im Forum:

Noch ist diese Fehlerbehebung allerdings nur in der jüngsten Beta-Version des Steam-Clients für Windows integriert. Es könnte also noch etwas dauern, bis es ein fertiges Update gibt. Das jüngste Steam-Update trägt die Versionsnummer 5.27.59.20 und war erst Anfang der Woche erschienen. Da hatte man noch nicht an die Schließung der Schwachstelle gedacht. Wenn nun nicht weitere Probleme auftauchen, könnte Steam schon in der kommenden Woche ein neues Update bekommen - dieses Mal dann mit der Behebung der Rechteausweitung.

Eine Erklärung zum Verhalten von Valve bei ihrem eigenen Bug-Bounty-Programm steht im Übrigen noch aus.

Download Steam - Spiele- und Software-Downloads Steam, Valve, Ui, Valve Steam, Benutzeroberfläche SteamDB