Atredis Partners divulgue 6 failles de sécurité dans Steam
Deux failles d'exécution de code à distance et quatre élévations de privilèges locales ont été signalées à Valve via HackerOne, selon le rapport publié le 28 octobre 2026.
Le cabinet de recherche et de conseil en sécurité Atredis Partners a publié le 28 octobre 2026 un rapport sur six vulnérabilités affectant Steam, rapporte gamebusiness.jp. Le chercheur Bryan Alexander et ses collègues y décrivent deux failles d'exécution de code à distance et quatre failles d'élévation de privilèges locales.
Les deux failles d'exécution de code à distance se situent dans la gestion des communications du client Steam, entre des clients connectés au même compte, plus précisément dans les messages liés aux changements de planning de téléchargement et au statut d'installation ou de mise à jour des jeux.
Les chercheurs ont démontré une exécution de code sans clic, à la condition que l'attaquant puisse exploiter un client authentifié sur le même compte Steam que la cible.
Parmi les problèmes d'élévation de privilèges locales, l'un concernait un script d'installation de jeu capable d'exécuter un programme avec les privilèges SYSTEM.
Toutes les failles ont été signalées via le programme HackerOne de Valve. Les éléments divulgués ont soit été corrigés, soit dépassé leur échéance de divulgation.
En bref
Combien de failles Steam ont été divulguées par Atredis Partners ?
Six : deux failles d'exécution de code à distance et quatre failles d'élévation de privilèges locales.
Valve a-t-il corrigé ces vulnérabilités ?
Toutes ont été signalées via le programme HackerOne de Valve ; les éléments divulgués ont été corrigés ou ont dépassé leur échéance de divulgation.