GOG turi pažeidžiamumo išnaudojimą, kurį, atrodo, nepaisė CD Projekt RED dukterinė įmonė nuo tada, kai jį pirmą kartą pastebėjo. Išnaudojimas pirmą kartą buvo archyvuotas kaip pažeidžiamumas Nacionalinė pažeidžiamumo duomenų bazė (NVD) 2020 m. rugpjūčio mėn. Šis pažeidžiamumas leidžia perkelti vietines privilegijas iš bet kurio autentifikuoto vartotojo į SISTEMĄ.
Šis išnaudojimas iš esmės leidžia vartotojams įterpti DLL GOG Galaxy klientas. Paprasčiau tariant, GOG gali būti naudojamas privilegijoms padidinti. Taigi vartotojai gali įgyti administravimo vaidmenį pačioje sistemoje. Tai iš esmės gali atverti kelią įsilaužėliams gauti prieigą prie tiekimo grandinės atakų prieš skirtingas sistemas.
Kaip sakoma NVD duomenų bazės įraše:
Klientas (dar žinomas kaip GalaxyClientService.exe), esantis GOG GALAXY iki 2.0.41 (nuo 12:58 ryte, 9-26-21), leidžia bet kurio autentifikuoto vartotojo vietines privilegijas perkelti į SISTEMĄ, nurodydamas Windows paslaugai vykdyti savavališkas komandas. Taip nutinka todėl, kad užpuolikas gali įterpti DLL į GalaxyClient.exe, nugalėdamas TCP pagrįstą „patikimo kliento“ apsaugos mechanizmą.
Nereikia nė sakyti, kad bet kuris vartotojo profilis gali suteikti sau administravimo privilegijas per GOG Galaxy ir tada gauti prieigą prie kiekvieno kompiuterio, kuriame įdiegtas GOG klientas. Išnaudojimas iš pradžių atrado baltųjų skrybėlių įsilaužėlis ir „Positron Security“ įkūrėjas Josephas Testa. Tačiau tai atsitiko 2020 m. sausio mėn.
GOG sureagavo išleisdamas naujinimą, kuris išspręstų šią problemą. Tačiau buvo nustatyta, kad tai tiesiog atnaujino pasirašymo raktą, naudojamą pranešimams tikrinti. Šis raktas buvo atkurtas ir su juo atnaujintas koncepcijos įrodymas. Taigi taip, išnaudojimas vis dar veikia, nepakeistas ir buvo pranešta kaip apie 0 dienų GOG Galaxy kliento pažeidžiamumą.
Juozapas Testa paskelbė išsamią analizę kuriame išsamiai aprašyti kai kurie jo pokalbiai su GOG palaikymo komanda. Šis pokalbis prasidėjo 4 m. birželio 2020 d., o visą temą galite perskaityti aukščiau esančioje nuorodoje.
GOG.com palaikymo komanda atsakė:
„Mane informavo, kad mūsų kūrėjai stengiasi išspręsti problemą, tačiau norint įvykdyti ataką, mašina jau turi būti pažeista.
Kadangi atrodė, kad GOG į problemą nežiūrėjo rimtai, atsakiau taip:
„Tikrai tiesa, kad užpuolikas jau turi turėti žemų privilegijų prieigą prie mašinos. Tačiau problema ta, kad piktnaudžiaujant „GalaxyClientService“ programine įranga tai gali būti perkelta į administratoriaus teises. […] Vietos privilegijų padidinimas (LPE) yra rimtas pažeidžiamumas.
GOG klientai gali įdiegti programinę įrangą / žaidimus iš kitų nepatikimų šaltinių neturėdami administratoriaus teisių, kurios paprastai apsaugotų juos nuo visiško sistemos kompromiso. Deja, dėl „GalaxyClientService“ aptiktų spragų, visi vartotojų abonementai iš tikrųjų yra administratoriai.
Netrukus po to GOG pasakė Josephui, kad jų kūrėjams prireikė trijų mėnesių sprendimui sukurti. Žinoma, kadangi patarimas šiuo metu yra internete, tai reiškia, kad šis pataisymas nebuvo pateiktas praėjus 3 mėnesiams. Tiesą sakant, dar 2021 m. rugsėjo mėn. buvo patvirtinta, kad GOG Galaxy 2.0 eksploatacija ir toliau veikia.
Kitaip tariant, bet kuris vartotojas, įdiegęs Galaxy 2.0, rizikuos, kad užpuolikas gaus administratoriaus prieigą. Kaip „Reddit“ gijos plakatas kuris atrado, kad išnaudojimas vis dar veikia, nurodo:
Man didžiausią nerimą kelia tai, kad žmonės mano, kad kadangi jau taip seniai praėjo 3 mėnesių terminas, kurį kūrėjai pasiūlė taisyti, tai buvo ištaisyta. Po velnių, kodėl kūrimo komanda ne pataisyti kažką panašaus savo programinėje įrangoje? Gaila, kad taip nėra, o jūsų sistema vis tiek yra pažeidžiama, jei įdiegta GOG Galaxy 2.0.
Kai anksčiau šią savaitę Wccftech susisiekė su GOG norėdami pakomentuoti šią situaciją, jie atsakė tokiu pareiškimu:
Žinome apie GOG GALAXY saugos problemą ir patvirtiname, kad taisymo darbai vyksta. Paaiškėjo, kad tai labai sudėtingas dalykas ir reikalauja pakeisti paties kliento dizainą. Kaip visada, mes informuosime vartotojus apie pataisymą GOG GALAXY pakeitimų žurnale, kai pataisa bus įdiegta. Be to, norime visus patikinti, kad saugumo temos mums yra svarbios ir į visas jas žiūrime rimtai.
Dabartine forma koncepcijos įrodymas Joseph Testa aprašytas išnaudojimas sukelia tik „Galaxy“ kliento gedimą. Taigi galima nesunkiai numanyti, kad tai gali būti laikina CDPR priemonė, skirta užkirsti kelią bet kokiems išpuoliams, kol jie dirba sprendžiant šią problemą. Žinoma, tai taip pat gali reikšti, kad išnaudojimas nebeveikia su pasenusiu koncepcijos įrodymu ir jį gali pasiekti piktybiniai užpuolikai, naudodami patobulintą procesą.
Toliau pateiktame „YouTube“ vaizdo įraše galite žiūrėti išsamią įvykių laiko juostą, kurioje aprašomas išnaudojimo sunkumas.
Šiuo metu geriausia būti atsargiems naudojant GOG Galaxy programą, todėl labai rekomenduojama stebėti, kokios programos įdiegiamos naudojant paslaugą.
Pranešimas GOG turėjo rimtų vidinių pažeidžiamumo problemų beveik 2 metus; GOG: Tai labai sudėtingas reikalas, tačiau pataisymo darbai vyksta by Ulė Lopezas pirmiausia pasirodė Wccftech.
