[Warning] Une faille critique dans tous les jeux Blizzard permettra aux Hackers de détourner des millions de PC

Tavis Ormandy, chercheur à l’équipe Project Zero de Google, a découvert une vulnérabilité critique dans les jeux Blizzard qui pourrait permettre à des attaquants distants d’exécuter du code malveillant sur les ordinateurs des joueurs.

En effet, l’agent de mise à jour de Blizzard est vulnérable à une technique de hacking appelée «DNS Rebinding» qui permet à tout site Web de servir de pont entre le serveur externe et votre hôte local.

En créant simplement une entrée DNS pour lier toute page Web contrôlée par un attaquant avec localhost (127.0.0.1) et en incitant les utilisateurs à la visiter, les pirates peuvent facilement envoyer des commandes privilégiées à l’Agent de mise à jour de Blizzard en utilisant du code JavaScript.

Ormandy a également publié un exploit  de proof-of-concept  qui exécute une attaque de DNS Rebinding contre des clients Blizzard et qui pourrait être modifié pour permettre l’exploitation en utilisant les network drives (lecteurs réseau), ou en configurant la destination à “Téléchargements”  and en forçant le navigateur à installer des DLL  malicieux, des fichiers, etc…

Après la publication du rapport d’Ormandy, Blizzard l’a contacté et l’a informé qu’un correctif d’en-têtes Host plus robuste est en cours de développement pour le déploiement afin de résoudre entièrement le problème .