Vulnerabilidad en ArchiSteamFarm (ASF) (CVE-2022-23627)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

08/02/2022

Última modificación:

16/02/2022

Descripción

ArchiSteamFarm (ASF) es una aplicación C# con el propósito principal de ralentizar las tarjetas de Steam de múltiples cuentas simultáneamente. Debido a un bug en el código de ASF, introducido en la versión V5.2.2.2, el programa no comprobaba apropiadamente el acceso efectivo del usuario que enviaba comandos proxy (es decir, "[Bots]"). En particular, un comando tipo proxy enviado al bot "A" dirigido al bot "B" verificaba incorrectamente el acceso del usuario contra el bot "A" - en lugar del bot "B", al que el comando estaba originalmente designado. Esto en resultado permitió el acceso a recursos más allá de los configurados, siendo una amenaza de seguridad que afecta a la confidencialidad de otras instancias del bot. Un ataque con éxito explotando este bug requiere un acceso significativo concedido explícitamente por el propietario original del proceso ASF antes de eso, ya que el atacante tiene que controlar al menos un solo bot en el proceso para hacer uso de esta laguna de verificación de acceso inapropiada. El problema está parcheado en ASF versiones V5.2.2.5, V5.2.3.2 y futuras versiones. Es recomendado a usuarios actualizar lo antes posible

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.80

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 2.0

4.00

Gravedad 2.0

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:archisteamfarm_project:archisteamfarm::::::::	5.2.2.2 (incluyendo)	5.2.2.5 (excluyendo)
cpe:2.3:a:archisteamfarm_project:archisteamfarm::::::::	5.2.3.0 (incluyendo)	5.2.3.2 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en ArchiSteamFarm (ASF) (CVE-2022-23627)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información