Normaal gesproken, als we het hebben over videogames met bugs, is het een soort itemduplicatiefout of een hilarische fout in de jasuitrustingscode van een of andere vervelende eerste-persoon schieter on-line kledingkastsimulator. Tegenaanval 2 heeft echter een meer gênante fout gehad, met een beveiligingslek waardoor slechte acteurs theoretisch de IP’s van hun medespelers op een server kunnen vastleggen. Je zult niet geloven hoe dit kon gebeuren.

De exploit heeft al zijn weg gevonden op de boards, waarbij één (Crouch9706) alarm sloeg. Het ligt allemaal aan de manier waarop Tegenaanval 2 geeft de namen weer die spelers hebben ingevoerd in hun Steam-spelprofielen. In bepaalde menu’s en andere delen van de gebruikersinterface: het spel zal HTML daadwerkelijk parseren op naam van een speler. De manier om dit te activeren is meestal door deel te nemen aan een spel en te stemmen om jezelf te schoppen. Hierdoor verschijnt er een dialoogvenster voor andere spelers waarin uw spelersnaam wordt weergegeven en de HTML wordt geparseerd. De enige beperking is dat u slechts 32 tekens krijgt voor uw HTML.

Er zit echter een handig extraatje bij, namelijk dat je deze techniek kunt gebruiken om het IP-adres van een andere speler te achterhalen. Door HTML in te voeren die naar uw eigen server linkt, kunt u bijvoorbeeld alle speler-IP’s loggen die verbinding maken met de server op zoek naar een afbeelding.

Dit is natuurlijk niet het grootste risico, aangezien veel spelers achter ISP’s zitten die CGNAT gebruiken, waardoor de verzamelde IP’s nogal nutteloos worden. Echter, dit soort onverwachte code-injectie is vanuit veiligheidsoogpunt echt niet acceptabel. Het heeft op zijn minst het potentieel om spelers bloot te stellen aan vervelende beelden.

Woord op straat (Nitter) is dat de exploit nu is gepatcht. Als je ondertussen aan een spel werkt dat om de een of andere gekke reden code uitvoert op foundation van spelersnamen of andere soortgelijke gegevens, overweeg dan om je werk zo snel mogelijk te patchen. Als je soortgelijke exploits in het wild tegenkomt, aarzel dan niet om contact op te nemen onze tipslijn– en breng de ontwikkelaars ook op de hoogte!