Vulnerabilidad en el envío de un mensaje de chat de Steam en ArchiSteamFarm (CVE-2021-32795)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-20 Validación incorrecta de entrada

Fecha de publicación:

26/07/2021

Última modificación:

13/08/2021

Descripción

ArchiSteamFarm es una aplicación C# con el propósito principal de ralentizar las tarjetas de Steam de múltiples cuentas simultáneamente. En las versiones anteriores a 4.3.1.0 se presenta una vulnerabilidad de denegación de servicio (también se conoce como DoS) que permite a un atacante bloquear remotamente una instancia de ASF en ejecución mediante el envío de un mensaje de chat de Steam específicamente diseñado. El usuario que envía el mensaje no necesita estar autorizado dentro del proceso del bot o del ASF. El atacante necesita conocer el "CommandPrefix" de ASF de antemano, pero la mayoría de las configuraciones de ASF se ejecutan con un valor predeterminado sin cambios. Este ataque no permite al atacante obtener ninguna información potencialmente confidencial, como inicios de sesión o contraseñas, no permite ejecutar comandos arbitrarios y de otra manera explotar el bloqueo más. El problema está parcheado en ASF versión V4.3.1.0. La única solución que garantiza una protección completa es ejecutar todos los bots con "OnlineStatus" de "0" (Offline). En esta configuración, ASF es capaz de ignorar incluso el mensaje específicamente diseñado sin intentar interpretarlo

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

5.90

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:N/I:N/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:N/I:N/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Físico