Valve的Source SDK曝出漏洞：通过Steam游戏就能安装恶意程序

安全研究人员最近公开Valve的Source SDK中的一个漏洞，Source SDK是Valve的一个库，是给游戏开发商使用的，支持定制mod和其它特性开发。

该漏洞可让攻击者在用户计算机上执行恶意代码，安装恶意程序——如勒索软件、挖矿程序、银行木马等。这实际上是Source SDK中的一个简单的缓冲区溢出漏洞。

研究人员表示，攻击者可利用mod或地图文件来加载漏洞利用代码。用户连接服务器时，游戏自动下载加载源。Valve当前已经修复漏洞，并通知所有游戏工作者对游戏进行升级，所以实际上6月份就有多个游戏进行了升级。Steam也通知了第三方mod开发者升级Source SDK版本。很快Taft会公开漏洞PoC演示。Taft推荐Steam游戏玩家和mod作者启用ASLR，可有效阻止此漏洞利用。