В Dota 2 использовали баг эксплойта V8 для атак пользователей в игре

Когда мы думаем об эксплойтах V8, первое, что приходит на ум, вероятно, связано со сложными цепочками эксплойтов браузера нулевого дня. Хотя браузер может быть самой интересной мишенью для эксплойтов V8, мы не должны забывать, что этот движок javascript с открытым исходным кодом также встроен в бесчисленное множество проектов, помимо браузера.

И когда механизм javascript используется за пределами безопасности для выполнения потенциально ненадежного кода, могут возникнуть проблемы с безопасностью.

Одна из таких проблем затронула чрезвычайно популярную видеоигру Dota 2. В частности, в Dota использовалась устаревшая сборка v8.dll, скомпилированная в декабре 2018 года. Неудивительно, что эта сборка была уязвима для целого ряда CVE, многие из которых, как известно, даже использовали уязвимости с помощью эксплойтов с открытым доказательством концепции (PoC).

Исследователи безопасности Avast обнаружили в Steam, что одна из этих уязвимостей, CVE-2021-38003, активно эксплуатировалась в четырёх пользовательских игровых режимах, опубликованных в игре. Поскольку V8 не был помещён в песочницу в Dota, эксплойт сам по себе позволял удалённо выполнять код против других игроков в Dota.

Специалисты сообщили о своих выводах разработчику Dota 2, Valve. В ответ Valve 12 января выпустила обновление для Dota, обновив старую и уязвимую версию V8. Это обновление вступило в силу немедленно, так как Dota должна быть обновлена, чтобы игроки могли участвовать в онлайн-играх. Valve также предприняла дополнительные действия, отключив оскорбительные пользовательские режимы игры, уведомив затронутых игроков и внедрив новые меры по уменьшению поверхности атаки игры.