Sicherheitsloch bei Unreal !!!
Bin grad im TO-Forum über das hier gestolpert:
Eine Sicherheitslücke in EpicGames Unreal-Engine ermöglicht es Angreifern, beliebigen Code auf dem Server auszuführen. Laut eines Advisory von Luigi Auriemma auf der Sicherheits-Mailingliste Bugtraq handelt es sich dabei um einen Format-String-Bug, der sich sehr einfach ausnutzen lässt. Wenn sich Clients zu einem Server mit Unreal-Engine verbinden, schicken sie bestimmte Daten in Form von Klassen. Ein Angreifer kann in die Namen dieser Klassen Formatierungsbefehle ("%s", "%n") einbauen, die vom Server nicht gefiltert werden. Dadurch kann entweder der Server lahm gelegt oder sogar beliebiger Code ausgeführt werden.
Das Problem reicht recht weit, weil viele Spiele die Unreal-Engine verwenden. Neben Unreal und Unreal Tournament sind dies beispielsweise Postal 2, Star Trek: Klingon Honor Guard, Tactical Ops, Rainbow Six: Raven Shield und viele andere. Laut Auriemma wurde EpicGames bereits Anfang September vergangenen Jahres über die Schwachstelle informiert, dort wurde sie aber bis November nicht ernst genommen. Dann habe EpicGames alle Entwickler von anfälligen Spielen über eine interne Mailingliste informiert. Aber einen Hotfix gibt es bislang nicht: Zwar will EpicGames das Problem mit dem nächsten offiziellen Patch beheben, doch wann der zur Verfügung steht, ist derzeit unklar. (pab/c't)
Quelle: https://heise.de/newsticker/meldung/45440