A veces las vulnerabilidades pasan inadvertidas durante años hasta que son descubiertas. En caso de que el hallazgo lo hagan actores maliciosos no tardarán en sacarle partido mediante la creación de malware que las explote, que fue lo que pasó con SambaCry, aunque afortunadamente también hay casos en los que son parcheadas sin consecuencias negativas.

Lo último expuesto en el párrafo anterior es lo que le ha pasado al cliente de Steam, la conocida plataforma de videojuegos que es líder en distribución digital de ese tipo de contenidos. El investigador Tom Court, de Contextis, avisó a Valve sobre una vulnerabilidad que llevaba 10 años presente en el cliente de Steam. A pesar de la gran cantidad de tiempo que ha transcurrido, no parece que el fallo de seguridad haya sido explotado de forma activa, así que pocos o puede que ningún usuario se haya visto afectado.

El origen de la vulnerabilidad está en la corrupción de una biblioteca del cliente de Steam que podía ser ejecutada de forma remota en un área de código que trataba de reensamblar datagramas fragmentados desde múltiples paquetes UDP recibidos. Por lo tanto, se puede decir que estamos ante una Ejecución de Código en Remoto (RCE). El cliente de Steam se comunica utilizando un protocolo personalizado, Steam Protocol, que es enviado sobre UDP. Aquí nos encontramos con dos aspectos relevantes para la explotación de la vulnerabilidad: el tamaño del paquete y el tamaño total de datagramas reensamblados.

Básicamente, lo que hace la vulnerabilidad es aprovecharse de la ausencia de una comprobación para asegurar que, para el primer del datagrama fragmentado, el tamaño del paquete sea menor o igual que el tamaño total del datagrama. Lo sorprende es que la comprobación si estaba presente para los siguientes paquetes. Sin ASLR, que fue incluido en el cliente de Steam en julio del año pasado, este fallo de seguridad podía ofrecer una buena base para la creación de exploits altamente confiable.

Aunque la inclusión de ASLR fue una mitigación puesta inconscientemente contra la vulnerabilidad descubierta por Tom Court, esta podía ser explotada todavía. De hecho, Valve confirmó la vulnerabilidad el 20 febrero de 2018 y no incluyó el parche en la rama estable de Steam hasta el 22 de marzo del presente año, por lo que los que utilicen la aplicación con asiduidad tendrían que tenerlo ya aplicado si permiten las actualizaciones automáticas.

Para evitar los problemas, Court ha recomendado una revisión constante del código para detectar y corregir cuanto antes los problemas de seguridad, mientras que los usuarios finales pueden cambiar las contraseñas de sus cuentas como medida de precaución.