[新聞] Steam個人檔案頁面目前存在安全漏洞

[smallcountry (冰鋒冷劍)]

本文轉載不須告知，感謝置底聊天區板友提供的消息。

雖然這是Reddit上消息來源，但是他由Steam Moderator發布，使用新聞標題。
https://redd.it/5skfg4

巴哈的討論應該比較清楚
https://forum.gamer.com.tw/C.php?bsn=60599&snA=13091&tnum=2

目前最新的消息此漏洞已修復，另外的討論串
An XSS exploit on Steam Profiles has been fixed
https://redd.it/5smjle

==============================================================================

原文大意是說：

這項漏洞已經回報Valve，應該很快會被修正。

目前的Steam個人檔案頁面存在安全漏洞，
只要你進入別人可疑的(真實的)Steam個人檔案頁面時立即可能遭到感染。
所有裝置的瀏覽器目前都受到影響。

Do NOT click suspicious (real) steam profile links and
Disable JavaScript on Browser.

目前的建議不要點擊任何進入可疑的(真實的)Steam個人檔案頁面網址連結，
且停用瀏覽器的JavaScript。

而他也警告了知道洩漏這項漏洞如何操作的使用者都將遭到封鎖。

可以看到原文被置頂的留言這項漏洞已經被一個web開發者所證實。
建議開啟Steam設定中的顯示網址功能，並再三檢查網址是否有問題。

板友提醒：
設定 -> 介面 -> 可用時顯示 Steam網址列 打勾

目前請不要查看任何你不熟悉的其他Steam個人檔案頁面。

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.242.159.70
※ 文章網址: https://www.ptt.cc/bbs/Steam/M.1486477193.A.62E.html
→ DendiQ: 好幾次了
→ smallcountry: 我看留言有說之前好像也發生過的樣子
推 daumda: 太可怕了 還好我沒朋友
→ smallcountry: 補個巴哈那邊的討論連結，那邊看應該比較清楚~
推 chocopie: 停用瀏覽器的JS，那大概有很多網頁都看不了。
→ smallcountry: 恩對啊~目前就是不要進入任何人的Steam個人檔案頁面
→ smallcountry: 在登入的情況下，有留言說朋友的也不要相信XD
→ smallcountry: 好像有點疑似自動轉址的漏洞的樣子
→ chocopie: 設定 -> 介面 -> 可用時顯示 Steam網址列 打勾
→ smallcountry: 感謝告知~我把他補上去~
→ chocopie: 反正就朋友突然密你的連結不要亂點
→ chocopie: 瀏覽別人的個人檔案頁面時，
→ chocopie: 留意超連結網址，當心網路釣魚。
→ chocopie: 我的個人檔案，都是自製動漫gif放好放滿XDD
→ smallcountry: 我要先去睡覺了~板友有後續消息直接回文補充吧~
推 kawazima8869: steam好像三不五時就在patch 真的漏洞那麼多喔
→ hn9480412: 大概2015年冬季特賣就發生過類似的事情了。只是那次是
→ hn9480412: 可以找到你的信用卡付款資訊
→ a52655: XSS?
→ hn9480412: Steam db的說法認為是XSS漏洞
→ hn9480412: http://i.imgur.com/1suJH87.jpg
→ chocopie: 因為Steam內建介面的本質依然是瀏覽器。
→ chocopie: 另外還有一個bug，自己發佈一個攻略，
→ chocopie: 然後把Youtube自動播放語法嵌在攻略標題裡，
→ chocopie: 再加入自己最愛，你就可以強迫你的朋友在動態消息裡看Yo
→ chocopie: utube了。
推 an94mod0: 還好沒朋友
推 naya7415963: 沒朋友沒煩惱
※ 編輯: smallcountry (111.242.137.148), 02/08/2017 08:39:34
推 victor5517: 還好沒朋友QQ