Steam использует небезопасный устаревший браузер Chromium
Valve интегрировала пользовательскую версию веб-браузера Chromium в свой клиент Steam, который отображает веб-контент для пользователей Steam.
Если последние пару недель что-то показали, так это то, что пользовательские версии Chromium или Chrome чаще всего представляют угрозу безопасности.
Google проанализировал сторонние реализации своего браузера Chromium недавно и пришли к выводу, что они сделали пользовательские системы менее безопасными, несмотря на утверждения об обратном.
Основная причина этого заключалась в том, что компании отключили функции безопасности браузера Chromium или обошли их.
Клиент Steam от Valve использует пользовательская версия Chromium тоже, и оказывается, что эта версия тоже небезопасна.
Chromium Embedded Framework (CEF) — это расширение механизма рендеринга браузера Chromium, проекта с открытым исходным кодом, который является компонентом Google Chrome.
Клиент Steam в Windows и OS X использует настроенную версию CEF для рендеринга веб-контента.
Пользователь сообщил его выводы в официальном репозитории Valve Software на Github, заявив, что встроенная версия Chromium устарела и работает без песочницы.
Браузер Chrome в Steam основан на версии 47, уязвимой и устаревшей.
Chromium по умолчанию работает в Steam с параметром —no-sandbox.
Самая последняя версия Chromium в настоящее время — 50, что означает, что браузер Chrome, используемый Steam, устарел.
Google исправил несколько проблем с безопасностью в этих новых версиях Chromium, сделав версию браузера Steam уязвимой для них.
В песочница, включенный по умолчанию в Chromium, позволяет создавать изолированные процессы, которые выполняются в ограниченных средах. Песочница защищает базовую систему и данные в ней, помимо прочего, от вредоносных процессов.
Пользователи Chrome могут использовать параметр —no-sandbox, чтобы отключить песочницу в Chrome, но это удаляет ее защитные функции и оставляет систему открытой для атак.
Обе ошибки были обнаружены Valve, и каждой из них был назначен пользователь. Однако целевая веха еще не указана, и нет никаких указаний на то, когда Valve исправит проблемы с безопасностью.
Пользователям Steam следует подумать об использовании на данный момент внешнего современного веб-браузера вместо встроенного веб-браузера Steam, пока проблемы не будут исправлены Valve.
Роб Джойс, начальник отдела индивидуального доступа АНБ (TAO) упомянутый В последнее время Steam стал популярным вектором атаки.
