Bug di Steam Mungkinkan Hacker untuk Mengakses CD Key dari Seluruh Game yang Tersedia – Peneliti keamanan dari Ukraina menemukan celah di Steam yang membuatnya dapat mengunduh CD Key dari game apapun yang tersedia di Steam.
Peneliti keamanan bernama Artem Moskovsky tersebut berbicara tentang bug yang terkait dengan platform Steamworks, yang dirancang untuk pengembang yang bekerja sama dengan Steam. Kerentanan memungkinkan untuk mengetahui semua kunci aktivasi (CD-key) untuk setiap game yang di-host di Steam.
Peneliti menemukan masalah dalam API di alamat endpoint:
- partner.steamgames.com/partnercdkeys/assignkeys/
Ini adalah API yang memungkinkan pengembang game atau afiliasinya mengambil kunci CD yang tersedia untuk pengguna Steam sehingga pelanggan mereka dapat mengaktifkan game yang diinstal melalui klien Steam.
API ini dapat diakses menggunakan akun Steam reguler dan mengambil beberapa parameter, tetapi yang paling relevan adalah appid (mewakili permainan), keyid (mewakili pengenal satu set kunci CD), dan keycount (mewakili jumlah kunci CD yang Steam yang tersedia dalam satu set kunci CD).
Moskowsky mengatakan bahwa dalam keadaan normal ketika dia mencoba mengambil kunci CD untuk game yang tidak dia miliki, API Steam memberinya pesan error, sesuatu yang wajar.
Tetapi peneliti menemukan bahwa dengan menyetel parameter keycount ke “0” dia dapat melewati batasan API dan mengambil file dengan kunci CD milik game apa saja, bahkan jika pengguna tidak seharusnya memiliki akses ke koleksi kunci CD game tersebut.
Selama tesnya, dan sebelum memberi tahu Steam, peneliti mengatakan dia mampu menghasilkan dan mengunduh lebih dari 36.000 kunci CD untuk permainan Portal 2.
Selanjutnya, ketika ia mengeksplorasi lebih dalam tentang celah tersebut, ia juga menyadari bahwa penyerang bisa mendapatkan semua ID game Steam dan secara bertahap mengunduh semua kunci CD mereka, karena parameter appid dan keyid relatif mudah ditebak.
Baca Juga:
- Aplikasi Telegram Desktop Membocorkan Alamat IP Pengguna Selama Panggilan Suara
- Bug Hunter dapatkan Reward $8500 setelah Temukan Celah di Aplikasi Facebook Android
- Hacker Dapatkan Reward 7560 USD Setelah Temukan Celah di Vine
- MalwareTech Sumbangkan Reward dari HackerOne Untuk Amal
Moskowsky melaporkan bug ke Valve pada bulan Agustus melalui platform bounty bug HackerOne, dan perusahaan memperbaikinya dalam beberapa hari namun pengungkapan penemuannya ke publik baru disetujui Valve beberapa hari yang lalu.
Peneliti menerima hadiah $ 20.000 untuk melaporkan bug khusus ini ke Valve, salah satu bounty terbesar yang dibayarkan oleh platform tersebut.
Sebulan sebelum itu, Moskowsky juga mendapatkan imbalan atas Valve sebesar $25.000 setelah menemukan dan melaporkan kesalahan injeksi SQL di portal Steamworks yang sama. (yuyudhn/linuxsec)
