🇰🇷 한글 설명
ArchiSteamFarm(ASF) V5.2.2.2 버전에서 프록시 명령을 보낼 때 대상 봇의 권한을 제대로 검증하지 못하는 취약점이 발견되었습니다. 공격자가 특정 봇을 제어할 수 있다면, 권한이 없는 다른 봇의 리소스에 접근하여 기밀성을 침해할 수 있습니다.
💡 쉬운 설명
여러 개의 스팀 계정을 관리하는 프로그램에서 명령을 내릴 때, 명령을 받는 대상이 누구인지 제대로 확인하지 않는 오류가 있었습니다. 이로 인해 권한이 없는 사용자가 다른 계정의 정보를 몰래 볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
ArchiSteamFarm (ASF) is a C# application with primary purpose of idling Steam cards from multiple accounts simultaneously. Due to a bug in ASF code, introduced in version V5.2.2.2, the program didn't adequately verify effective access of the user sending proxy (i.e. `[Bots]`) commands. In particular, a proxy-like command sent to bot `A` targeting bot `B` has incorrectly verified user's access against bot `A` - instead of bot `B`, to which the command was originally designated. This in result allowed access to resources beyond those configured, being a security threat affecting confidentiality of other bot instances. A successful attack exploiting this bug requires a significant access granted explicitly by original owner of the ASF process prior to that, as attacker has to control at least a single bot in the process to make use of this inadequate access verification loophole. The issue is patched in ASF V5.2.2.5, V5.2.3.2 and future versions. Users are advised to update as soon as possible.
📍 영향받는 시스템
ArchiSteamFarm (ASF) V5.2.2.2 버전
⚔️ 공격 벡터
제어 권한을 가진 특정 봇을 통해 권한 검증이 미흡한 프록시 명령을 전송하여 다른 봇의 리소스에 접근
🛡️ 대응 방법
ASF를 V5.2.2.5, V5.2.3.2 또는 그 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전인 V5.2.2.2가 포함되어 있다면 해당 버전이 설치된 상태입니다.
grep -r "version" . | grep -E 'V5\.(2\.2\.2)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:L/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access