Η Valve αναφέρει ότι έχει επιδιορθώσει ένα ζήτημα εισαγωγής HTML στο Counter-Strike 2 που καταχράστηκε για να εισαχθούν εικόνες στα παιχνίδια και να αποκτηθούν οι διευθύνσεις IP άλλων παικτών.
Δείτε επίσης: IP Protection: Η λειτουργία Google Chrome αποκρύπτει τις διευθύνσεις IP
Αρχικά, πίστευταν ότι πρόκειται για ένα πιο σοβαρό σφάλμα Cross Site Scripting (XSS), το οποίο επιτρέπει την εκτέλεση κώδικα JavaScript σε έναν πελάτη. Ωστόσο, αποδείχθηκε ότι είναι απλώς ένα σφάλμα στην ενσωμάτωση HTML, που επιτρέπει την εισαγωγή εικόνων.
Το Counter-Strike 2 χρησιμοποιεί το Panorama UI της Valve, μια διεπαφή χρήστη που ενσωματώνει σε μεγάλο βαθμό CSS, HTML και JavaScript για τη διάταξη του σχεδιασμού.
Στο πλαίσιο της σχεδίασης της διάταξης, οι προγραμματιστές μπορούν να παραμετροποιήσουν τα πεδία εισαγωγής ώστε να δέχονται HTML αντί να το μετατρέπουν σε απλό κείμενο. Εάν το πεδίο είναι ενεργοποιημένο για HTML, οποιοδήποτε κείμενο που εισαχθεί θα απεικονιστεί ως HTML κατά την έξοδο.
Σήμερα, χρήστες του Counter-Strike ξεκίνησαν να αναφέρουν ότι άλλοι χρήστες εκμεταλλεύονταν μια ευπάθεια εγχύσεως HTML για να εισάγουν εικόνες στο πάνελ ψηφοφορίας αποβολής. Παρόλο που η αδυναμία καταχράστηκε κυρίως για αθώα διασκέδαση, κάποιοι την χρησιμοποίησαν για να αποκτήσουν τις διευθύνσεις IP άλλων παικτών στο παιχνίδι.
Αυτό έγινε χρησιμοποιώντας την ετικέτα <img> για να ανοίξει ένα απομακρυσμένο σενάριο καταγραφής IP που προκάλεσε την καταγραφή της διεύθυνσης IP για κάθε παίκτη που είδε την ψηφοφορία για τον αποκλεισμό.
Δείτε ακόμα: Atlas VPN zero-day: Διαρρέει την διεύθυνση IP των χρηστών
Αυτές οι διευθύνσεις IP μπορούν να χρησιμοποιηθούν με κακόβουλο τρόπο, όπως για να προκαλέσουν επιθέσεις DDoS προκειμένου να αποσυνδεθούν οι παίκτες από το παιχνίδι.
Το απόγευμα, η Valve κυκλοφόρησε μια μικρή ενημέρωση 7MB που αναφέρεται ότι διορθώνει την ευπάθεια και προκαλεί το οποιοδήποτε εισαγόμενο HTML να μεταρέπεται σε ένα κανονικό αλφαριθμητικό. Για παράδειγμα, αφού εγκατασταθεί η ενημέρωση, αντί να αποδίδεται το ενσωματωμένο HTML από τη διεπαφή χρήστη, απλώς θα εμφανίζεται ως συμβολοσειρά.
Το 2019, εντοπίστηκε ένα παρόμοιο, αλλά πιο σοβαρό, σφάλμα στο Panorama UI του Counter-Strike: Global Offensive που επέτρεπε την εισαγωγή HTML μέσω της λειτουργίας αποβολής.
Ωστόσο, σε εκείνη την συγκεκριμένη περίπτωση, θα μπορούσε επίσης να χρησιμοποιηθεί για να εκκινήσει το JavaScript, κάνοντας το μία πολύ πιο κρίσιμη ευπάθεια XSS, που θα μπορούσε να χρησιμοποιηθεί για να εκτελέσει εντολές απομακρυσμένα.
Δείτε επίσης: Η Cisco αποκάλυψε σοβαρή ευπάθεια που επηρεάζει τηλέφωνα IP
Ένα HTML injection bug έχει σημαντικό αντίκτυπο στην ασφάλεια των ιστοσελίδων και των εφαρμογών. Όταν επιτρέπεται η εισαγωγή κακόβουλου κώδικα HTML σε μια ιστοσελίδα, οι επιτιθέμενοι μπορούν να εκμεταλλευτούν αυτήν την ευπάθεια για να προκαλέσουν διάφορα προβλήματα. Αυτό μπορεί να περιλαμβάνει την προβολή παραπλανητικού περιεχομένου, την κλοπή προσωπικών πληροφοριών των χρηστών, την εκτέλεση κακόβουλων ενεργειών ή ακόμη και την παραβίαση του συστήματος.
Επιπλέον, το HTML injection bug μπορεί να οδηγήσει σε cross-site scripting (XSS) επιθέσεις, κατά τις οποίες ο κακόβουλος κώδικας εκτελείται στο πρόγραμμα περιήγησης των χρηστών. Αυτό μπορεί να έχει σοβαρές συνέπειες, όπως την παραβίαση του απορρήτου των χρηστών, την κακόβουλη ανακατεύθυνση σε άλλες ιστοσελίδες ή ακόμη και την εκτέλεση κακόβουλων εντολών στον υπολογιστή του χρήστη.
Τέλος, το HTML injection bug μπορεί να προκαλέσει ζημιά στη φήμη και την αξιοπιστία μιας ιστοσελίδας ή μιας εφαρμογής. Αν οι χρήστες αντιληφθούν ότι η ιστοσελίδα τους είναι ευάλωτη σε επιθέσεις HTML injection, μπορεί να μειωθεί η εμπιστοσύνη τους και να αποφεύγουν τη χρήση της. Αυτό μπορεί να έχει αρνητικές συνέπειες για την επιχείρηση ή τον ιδιοκτήτη της ιστοσελίδας, καθώς μπορεί να οδηγήσει σε απώλεια εσόδων ή πελατών.
Πηγή: bleepingcomputer
