Valve усилила защиту команд и ресурсов в CS 1.6

16 апреля 2019 года в ленте Steam появилась сводка Valve о защитных обновлениях Counter-Strike 1.6.

Доверенные команды и загрузка файлов

Важная часть серии — проверка привилегий источника команды. Команды, приходящие извне клиента, могли выполнять только действия, признанные безопасными. Для connect, bind, quit и некоторых переменных, включая cl_filterstuffcmd, требовался доверенный источник. Такое разделение меняет допустимость исполнения, поэтому его нельзя свести только к дополнительной проверке имени файла.

Значение cl_filterstuffcmd выше нуля распространяло ограничение на дополнительные потенциально нежелательные команды, например say, fps_max и setinfo. Valve привела cl_filterstuffcmd 1 как пример. Материал фиксирует описанную разработчиком настройку без подмены её обещанием полной защиты от любых команд стороннего сервера.

В загрузке пользовательских ресурсов появились проверки безопасности имён файлов и запреты недопустимых расширений. Динамические библиотеки перестали искать в каталогах пользовательских ресурсов, а список заблокированных расширений дополнили. При этом отдельно исправили ошибочное блокирование загрузки пользовательских спреев: ограничение опасных случаев сочеталось с восстановлением допустимой загрузки.

Сводка опубликована 16 апреля 2019 года, но охватывает обновления с 20 марта по 11 апреля. Эти даты позволяют отличить время выпуска исправлений от дня публикации общего перечня.

Что входило в исправления безопасности

В сводке названы переполнения буфера при разборе delta-сообщений, загрузке TGA и BMP, воспроизведении демо, обработке имён моделей, detail-текстур и выводе списка карт в консоль. Ещё два пункта относятся к удалённому выполнению кода при обработке сообщений оружия и загрузке моделей. Подробных способов эксплуатации в официальной записи нет, и для понимания назначения обновлений они не нужны.

Для администраторов и авторов конфигураций практическое следствие состоит в необходимости проверять, какие действия по-прежнему допустимы из внешнего источника. Если прежняя команда перестала выполняться, это может соответствовать описанной модели привилегий; для конкретного случая нужно сверять происхождение команды и настройки клиента.

Источник: официальное сообщение Valve. Дата сообщения: 16.04.2019.