Cette faille inoffensive dans Counter-Strike 2 était en fait dangereuse

Une faille dans « Counter-Strike 2 » permettait de récupérer les adresses IP des joueurs. Valve l'a corrigée pour éviter les piratages de certains joueurs.

Counter-Strike 2 n’en est qu’à ses débuts et rencontre pourtant certains bugs, pouvant être dangereux. C’est le cas de cette faille d’injection HTML qui permettait à des pirates d’accéder aux adresses IP des joueurs. Une faille qui a été corrigée par l’éditeur du jeu, Valve.

Une faille qui commençait par quelques blagues dans Counter-Strike 2…

Le jeu utilise une interface utilisateur nommée Panorama UI, créée par Valve. Elle utilise du CSS, du HTML ainsi que du JavaScript pour la mise en page. Les développeurs peuvent créer des champs de saisie, qui peuvent accepter du code HTML. Récemment, de plus en plus de joueurs ont commencé à signaler que d’autres joueurs utilisaient une faille d’injection HTML pour placer des images dans le panneau de vote utilisé pour exclure les joueurs malveillants.

De quoi y placer des memes, des images drôles, afin de faire rire ses coéquipiers et ses adversaires. Pourtant, la faille pouvait être utilisée pour des raisons moins amusantes. Valve a publié ce 11 décembre un correctif de seulement 7 Mo, transformant tout code HTML injecté pour éviter que les joueurs affichent des images dans une partie. Ainsi, ce n’est plus l’image qui est affichée, mais son code, de manière textuelle.

… mais qui permettait d’accéder aux adresses IP des joueurs

En réalité, cette faille aurait pu être bien plus grave. On pensait au départ qu’il s’agissait d’une faille Cross Site Scripting (XSS) qui permet d’exécuter des programmes en JavaScript sur les machines des joueurs, ce qui étend largement les possibilités. Finalement, il s’est avéré que c’était une injection HTML, qui permet d’afficher des images.

En utilisant la balise pour afficher des images, des pirates ont pu « ouvrir un script d’enregistrement IP à distance qui a permis d’enregistrer l’adresse IP de chaque joueur ayant vu le vote », raconte Bleeping Computer. Ce qu’on peut faire avec une adresse IP, c’est lancer une attaque DDoS, par déni de service, qui consiste à surcharger les requêtes vers un ordinateur afin de le faire dysfonctionner. De quoi faire déconnecter les joueurs d’une partie de Counter-Strike 2.