Η Valve παραδέχεται ότι έκανε ένα λάθος «απομάκρυνση» του ερευνητή που ανέφερε ευπάθειες στο Steam

Σύμφωνα με την Ars Technica, η Valve παραδέχτηκε ότι η απομάκρυνση ενός ερευνητή που ανακάλυψε δύο ξεχωριστά τρωτά σημεία στο σύστημα του Steam ήταν «λάθος».

Ο ερευνητής προφανώς ανέφερε τα σφάλματα μέσω του προγράμματος επιβράβευσης σφαλμάτων HackerOne της Valve, αλλά η αναφορά του "ταξινομήθηκε ως εκτός πεδίου εφαρμογής" και απορρίφθηκε. Η εταιρεία λέει ότι η εσφαλμένη ταξινόμηση της αναφοράς ήταν λάθος.

Μπορείτε να διαβάσετε ολόκληρη τη δήλωση της Valve για το θέμα παρακάτω:

Γνωρίζουμε επίσης ότι ο ερευνητής που ανακάλυψε τα σφάλματα απορρίφθηκε εσφαλμένα μέσω του προγράμματος επιβράβευσης σφαλμάτων HackerOne, όπου η αναφορά του ταξινομήθηκε ως εκτός πεδίου εφαρμογής. Αυτό ήταν λάθος.

Οι κανόνες του προγράμματος HackerOne είχαν σκοπό μόνο να αποκλείσουν αναφορές ότι το Steam έλαβε οδηγίες να εκκινήσει προηγουμένως εγκατεστημένο κακόβουλο λογισμικό στον υπολογιστή ενός χρήστη ως τοπικός χρήστης. Αντίθετα, η λανθασμένη ερμηνεία των κανόνων οδήγησε επίσης στον αποκλεισμό μιας πιο σοβαρής επίθεσης που επέφερε επίσης κλιμάκωση τοπικών προνομίων μέσω του Steam.

Έχουμε ενημερώσει τους κανόνες του προγράμματος HackerOne για να δηλώσουμε ρητά ότι αυτά τα ζητήματα εμπίπτουν στο πεδίο εφαρμογής και πρέπει να αναφέρονται. Τα τελευταία δύο χρόνια, συνεργαστήκαμε και ανταμείψαμε 263 ερευνητές ασφαλείας στην κοινότητα, βοηθώντας μας να εντοπίσουμε και να διορθώσουμε περίπου 500 ζητήματα ασφάλειας, πληρώνοντας περισσότερα από 675,000 $ σε επιβραβεύσεις. Ανυπομονούμε να συνεχίσουμε να εργαζόμαστε με την κοινότητα ασφαλείας για τη βελτίωση της ασφάλειας των προϊόντων μας μέσω του προγράμματος HackerOne.

Όσον αφορά τους συγκεκριμένους ερευνητές, εξετάζουμε τις λεπτομέρειες της κάθε κατάστασης για να καθορίσουμε τις κατάλληλες ενέργειες. Δεν πρόκειται να συζητήσουμε τις λεπτομέρειες κάθε κατάστασης ή την κατάσταση των λογαριασμών τους αυτήν τη στιγμή.

Ars Technica αναφέρουν ότι η δήλωση ήρθε μόλις δύο ημέρες αφότου ο ερευνητής ασφαλείας Vasily Kravets ενημερώθηκε ότι η Valve δεν θα λάμβανε πλέον αναφορές σφαλμάτων που είχαν κατατεθεί μέσω του HackerOne από αυτόν.

Οι αρχικές αναφορές του Kravets σχετικά με δύο μεμονωμένα τρωτά σημεία του Steam που θα επέτρεπαν στους χάκερ πρόσβαση σε συστήματα που είχαν παραβιαστεί στο παρελθόν απορρίφθηκαν από τη Valve και θεωρήθηκαν εκτός πεδίου εφαρμογής.

Την Πέμπτη, την ίδια ημέρα που εκδόθηκε η δήλωση της Valve, ο Kravets είπε στην Ars ότι «δεν έχει λάβει ακόμη καμία επικοινωνία από τη Valve και ότι παρέμενε κλειδωμένος έξω από την ενότητα αναφοράς σφαλμάτων Valve του HackerOne».