Atredis Partners تكشف عن 6 ثغرات في Steam بينها ثغرتا تنفيذ تعليمات برمجية عن بُعد
الباحث الأمني Bryan Alexander وفريقه نشروا تقريراً في 28 أكتوبر 2026 عن ثغرتين لتنفيذ التعليمات عن بُعد و4 لتصعيد الامتيازات محلياً، بعد إبلاغ Valve عبر HackerOne.
نشرت شركة أبحاث الأمن السيبراني Atredis Partners تقريراً أمنياً في 28 أكتوبر 2026 كشفت فيه عن 6 ثغرات في منصة Steam، بينها ثغرتان تسمحان بتنفيذ تعليمات برمجية عن بُعد و4 ثغرات لتصعيد الامتيازات محلياً، وفق ما أورده موقع gamebusiness.jp.
وقال الباحث الأمني Bryan Alexander وزملاؤه إن ثغرتي تنفيذ التعليمات عن بُعد تتعلقان بمعالجة الاتصالات في برنامج Steam client بين عملاء مسجلين دخولهم إلى الحساب نفسه، وتحديداً في الرسائل المتعلقة بتغييرات جدول التنزيل وحالة تثبيت الألعاب وتحديثها.
وأوضح الباحثون أنهم استعرضوا تنفيذ تعليمات برمجية دون أي نقر من المستخدم، وذلك بشرط أن يكون المهاجم قادراً على تشغيل عميل مصادق عليه بالحساب نفسه الذي يستهدفه.
ثغرة تصل إلى صلاحيات SYSTEM
ومن بين مشكلات تصعيد الامتيازات محلياً، أشار التقرير إلى ثغرة تتعلق بسكربت لتثبيت إحدى الألعاب كان يمكنه تشغيل برنامج بصلاحيات SYSTEM.
وأُبلغت Valve، مشغّلة Steam، بجميع المشكلات عبر برنامج HackerOne الخاص بها، وكانت العناصر المعلنة قد سُدّت أو تجاوزت موعدها النهائي للإفصاح.
أسئلة سريعة
كم عدد الثغرات التي كشف عنها تقرير Atredis Partners في Steam؟
كشف التقرير عن 6 ثغرات: ثغرتان لتنفيذ تعليمات برمجية عن بُعد و4 لتصعيد الامتيازات محلياً.
هل أُبلغت Valve بهذه الثغرات؟
نعم، أُبلغت جميع المشكلات عبر برنامج HackerOne الخاص بـ Valve، والعناصر المعلنة إما سُدّت أو تجاوزت موعد الإفصاح النهائي.
ما شرط استغلال ثغرتي تنفيذ التعليمات عن بُعد؟
أن يتمكن المهاجم من تشغيل عميل مصادق عليه بالحساب نفسه الذي يستهدفه.