「BrokenPipe」と名付けられた新たな概念実証（PoC）により、Windowsシステム上のSteam Client Serviceにローカル権限昇格の脆弱性が存在することが明らかになりました。
Vulnerabilitydiscovery service
このプロジェクトのGitHubリポジトリによると、この脆弱性を悪用すれば、管理者権限を持たない標準的なWindowsユーザーであっても、Steam Client ServiceにNT AUTHORITY\SYSTEM権限で実行ファイルを起動させることが可能になるとされています。
このPoCは、完全に更新された64ビット版のWindows 10およびWindows 11上で動作するSteam Clientバージョン10.96.30.42を対象にテストされました。
Steam Windows脆弱性の詳細
Steamのバックグラウンドサービスであるsteamservice.exeは、インストールや更新、修復などの権限を要する処理を行うため、SYSTEMレベルの権限で動作しています。
BrokenPipeは、このサービスがインストールスクリプトおよび関連パスを処理する仕組みを標的にしています。研究者によれば、この脆弱性の悪用にあたって、攻撃者がValve署名済みファイルを改変したり、署名を偽造したり、ユーザーアカウント制御（UAC）を回避したり、管理者権限を取得したりする必要は一切ありません。さらに、この攻撃にはSteamアカウントへのログインやゲームの起動も不要です。
問題は、Valve Data Format（VDF）形式のインストールスクリプトの処理方法にあります。Steam Client Serviceは、IClientInstallUtils::AddInstallScriptToWhiteListというIPCベースのインターフェースを通じて、正規のValve署名済みインストールスクリプトVDFを受け付けます。
しかし、リポジトリの記述によると、この署名済みVDFは呼び出し元が指定するインストールルートに適切に紐付けられておらず、制限もされていません。その結果、ローカルユーザーは正規の署名済みスクリプトを利用しながらも、攻撃者が制御するインストールディレクトリを指定できてしまう可能性があります。
BrokenPipeは、この署名検証の抜け穴を突き、別のパスにランチャーを配置したうえで、インストールスクリプトのワークフローを通じて特権サービスにそれを認識させます。
その後、サービスはIClientInstallUtils::RunInstallScriptを通じてリクエストを処理し、ホワイトリストに登録されたランチャーを選択して、SYSTEMセキュリティコンテキスト下でそれを実行します。
公開されたデモンストレーションによると、実行後のプロセスはLocal System SID（S-1-5-18）で動作していることが確認されており、SYSTEMレベルでの実行が裏付けられています。
このプロジェクトは、以前レガシーブランチで管理されていたコンパイル済みC++版とは異なり、自己完結型のPowerShell PoCとして配布されています。
スクリプトには、正規のValve署名済みVDFがBase64データとして埋め込まれています。また、共有メモリ経由のIPCによってSteam Client Serviceと通信するためのインラインC#コードも含まれています。
作者は、Steamのバイナリを改変したりValveの署名を改ざんしたりすることが目的ではなく、この権限境界の欠陥を示すことが実装の狙いであると強調しています。
この発見が防御側にとって重要な理由は、ローカル権限昇格によって、マルウェア感染やフィッシング、低権限アカウントの侵害、その他の初期侵入手法を通じて得た足がかりが、Windowsエンドポイントの完全な制御権へと変わりうるためです。
SYSTEM権限での実行が可能になれば、脅威アクターはセキュリティ対策を無効化したり、保護されたシステムリソースにアクセスしたり、永続化を確立したり、認証情報をダンプしたり、より効果的にランサムウェアを展開したりできるようになります。
組織は、steamservice.exeから発生する不審な子プロセス、特にコマンドインタープリタやスクリプトエンジン、非標準ディレクトリから起動される未署名の実行ファイルに注意を払う必要があります。
セキュリティチームはまた、予期しないSteamサービスのIPCアクティビティ、Steamがインストールされているエンドポイント上での不審なPowerShellの実行、一時フォルダやユーザー書き込み可能な場所へのWindowsバイナリのコピーについても調査すべきです。
Securitytraining courses
さらに、管理者は業務上必要のない企業システムにおいてSteamのインストールを制限し、Valveがこの問題に対する修正や更新をリリースした際には速やかに適用することが求められます。
SOCのアラート調査時間を1件あたり21分短縮。即座のIOCコンテキストでSOCを強化し、迅速な対応を実現： TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/steam-windows-vulnerability/
