OBS Studio, vulnerabil la atacuri prin mesaje din chat-ul Twitch
O vulnerabilitate care combina un overlay nesigur cu o versiune învechită de Chromium putea permite executarea de cod pe PC-ul unui streamer cu Windows. OBS a început actualizarea browserului încorporat și testează reactivarea sandbox-ului.
Un mesaj malițios din chat-ul Twitch putea declanșa executarea de cod pe computerul unui streamer cu Windows, printr-o combinație de vulnerabilități în overlay și în browserul încorporat în OBS Studio. Riscul nu privea instalările OBS în mod automat, ci configurațiile care afișau într-un Browser Source mesaje ale spectatorilor ca HTML nevalidat.
Cum putea fi declanșat atacul
Analiștii de securitate de la Orange au descoperit problema după ce au analizat codul unui overlay personalizat pentru chat-ul Twitch. Acesta insera mesajele spectatorilor direct în pagina web, fără validare, ceea ce permitea executarea de JavaScript printr-o vulnerabilitate de tip cross-site scripting (XSS).
În OBS Studio, funcția Browser Source redă conținut web prin Chromium, folosind Chromium Embedded Framework (CEF). Cercetătorii au constatat că versiunea OBS Studio 32.2.2 includea Chromium 127 și o versiune V8 vulnerabilă la CVE-2024-7971, o problemă de tip „confuzie de tipuri” remediată de Google în Chrome 128, în august 2024.
Rolul configurării OBS
În mod obișnuit, sandbox-ul Chromium limitează efectele compromiterii motorului de redare. Potrivit Orange, mediul CEF din OBS avea sandbox-ul dezactivat, astfel că demonstrația cercetătorilor nu a necesitat o vulnerabilitate suplimentară pentru a ieși din acel mediu izolat.
Orange a dezvoltat un exploit de tip proof-of-concept: un mesaj Twitch rău-intenționat activa vulnerabilitatea overlay-ului, iar JavaScript-ul exploata apoi problema din V8. Totuși, cercetătorul a precizat că o instalare implicită OBS nu era automat expusă. Era necesar un Browser Source care prelucra drept HTML date controlate de spectatori. O pagină web controlată de atacator, încărcată într-un Browser Source sau într-un dock de browser, putea constitui o altă cale de exploatare.
Măsuri și recomandări
Problema a fost raportată echipei OBS pe 19 august, înainte de dezvăluirea publică din 22 septembrie. OBS a integrat în septembrie modificări pentru actualizarea browserului încorporat la CEF 128 sau o versiune mai nouă, iar echipa testează și reactivarea sandbox-ului, după probleme de compatibilitate legate de autentificare.
Până la implementarea versiunilor actualizate, dezvoltatorii de overlay-uri și streamerii ar trebui să trateze conținutul Browser Source ca nefiind de încredere. Mesajele spectatorilor ar trebui afișate ca text simplu, iar aplicațiile care au nevoie de HTML ar trebui să curețe codul înainte de afișarea în OBS.
Urmează implementarea versiunilor actualizate și testarea reactivării sandbox-ului; între timp, recomandarea este limitarea și curățarea conținutului afișat în Browser Source.
Sursa: www.go4it.ro