Dziury czają się wszędzie!

Firma Secunia, zajmująca się bezpieczeństwem systemów komputerowych, poinformowała o wykryciu groźnego błędu w "silniku graficznym" (engine) Unreal, wykorzystywanym m.in. w grach Unreal Tournament, Postal 2, Rune oraz Deus Ex. Okazało się, że engine zawiera błąd, umożliwiający nieautoryzowanym użytkownikom uzyskanie dostępu do zaatakowanego systemu. "To jeden z pierwszych błędów tego typu, który wykryto w grze komputerowej o tak dużym zasiegu. Niestety, sprawia to, że jest on potencjalnie bardzo niebezpieczny - użytkownikami gier są przede wszystkim młode osoby, które często nie zdają sobie sprawy z tego, jak należy zabezpieczyć się podczas pracy w Sieci" - mówi Ireneusz Parafjańczuk z CERT Polska.

Jak poinformowali przedstawiciele Secunia, luka w zabezpieczeniach Unreal Engine umożliwia zdalne wywołanie na zaatakowanej maszynie tzw. błędu przepełnienia bufora i, w konsekwencji, uruchomienie na niej dowolnego kodu - np. konia trojańskiego. Dzięki temu nieautoryzowany użytkownik może uzyskać dostęp do zaatakowanego komputera i wykorzystać go np. do przeprowadzenia ataku DoS (denial of service).

"Dziurę" w zabezpieczeniach Unreal Engine odkrył Luigi Auriemma, niezależny ekspert specjalizujący się w zabezpieczeniach gier komputerowych (wcześniej Auriemma wykrył m.in. poważne błędy w zabezpieczeniach usługi GameSpy).

Secunia opublikowała listę gier, narażonych na atak z wykorzystaniem tego błędu:

- DeusEx (build 1.112fm i wcześniejsze)

- Devastation (build 390 i wcześniejsze)

- Mobile Forces (build 20000 i wcześniejsze)

- Nerf Arena Blast (build 1.2 i wcześniejsze)

- Postal 2 (build 1337 i wcześniejsze)

- Rune (build 107 i wcześniejsze)

- Tactical Ops (build 3.4.0 i wcześniejsze)

- TNN Pro Hunter

- Unreal 1 (build 226f i wcześniejsze)

- Unreal II XMP (build 7710 i wcześniejsze)

- Unreal Tournament (build 451b i wcześniejsze)

- Unreal Tournament 2003 (build 2225 i wcześniejsze)

- Unreal Tournament 2004 (wersje wcześniejsze niż 3236)

- Wheel of Time (build 333b i wcześniejsze)

- X-com Enforcer

Z oświadczenia wydanego przez firmę wynika również, że od błędu wolna jest gra Unreal Tournament 2004 build 3236 (i późniejsze). Z większości wymienionych powyżej gier luki w zabezpieczeniach usuwają najnowsze (udostępnione w tym i ubiegłym tygodniu) patche.

"Wydaje mi się, że jest to jeden z pierwszych błędów tego typu, który wykryto w grze komputerowej o tak dużym zasiegu. Niestety, sprawia to, że jest on potencjalnie bardzo niebezpieczny - proszę zwrócić uwagę, że użytkownikami gier są przede wszystkim młode osoby, które często nie zdają sobie sprawy z tego, jak należy zabezpieczyć się podczas pracy w Sieci" - powiedział nam Ireneusz Parafjańczuk z CERT Polska.

"Dlatego też zdecydowanie zalecałbym zrezygnowanie z gier online przed zainstalowaniem odpowiedniego patcha. Minimalnym zabezpieczeniem, dla internautów, którzy jednak zdecydują się na prowadzenie gier w trybie multiplayer przed "załataniem" gry, powinien być program typu Personal Firewall, skonfigurowany tak, żeby żądać potwierdzenia każdego połączenia przychodzącego z Internetu i pozwalać tylko na te, które przychodzą od serwera gry - ale wtedy użytkownik będzie otrzymywał mnóstwo komunikatów przerywających samą grę" - dodał przedstawiciel Computer Emergency Response Team.

Więcej informacji:

http://secunia.com/product/1042/


Zobacz również