暴雪旗下多款游戏客户端出现漏洞容易引起DNS攻击
谷歌旗下安全实验室的研究人员在12月份发现知名游戏开发商暴雪旗下多款游戏客户端存在漏洞容易被攻击。
这些游戏客户端包括流行的魔兽世界、守望先锋、星际争霸以及命运等,安全漏洞主要在游戏的更新程序中。
这些游戏客户端的更新程序会创建本地端口用来接受通过命令进行安装和卸载以及其他类型的维护操作等等。
由于暴雪没有严格校验通信域名会让任何网站都可以伪造标记来远程向客户端更新程序发送特权命令执行等。
暴雪简单粗暴的处理引起研究人员不满:
研究人员最初发现漏洞后立即提交给暴雪并且双方良好沟通,但去年12 月22 日对方突然没有音讯不再联系。
经过长时间的等待后研究人员选择公开漏洞的所有细节,然后暴雪立即发布临时补丁程序将这个漏洞修复了。
不过暴雪只是将部分恶意域名加入黑名单阻止通信,而研究人员原本的意图是让暴雪把自己域名加入白名单。
加入白名单可以限制所有不再白名单中的域名进行通信,而黑名单仅只是将某些旧的恶意域名给拦截掉而已。
暴雪称仍然在修复中:
研究人员将漏洞公开后可能让暴雪变不开心了,暴雪告诉研究人员正在工作因为漏洞比较复杂所以需要时间。
但暴雪并未回应为何此前与研究人员沟通中时突然失联,如果不是突然失联也不存在漏洞细节被公开的问题。