谷歌安全团队零号计划成员塔维斯·奥曼迪表示，任何人都可以向暴雪战网发送特权命令，黑客可以向客户端发送下载请求以安装DLL和数据文件。
Google 的安全团队Project Zero 在Blizzard Battle.net（暴雪的更新代理应用程序）中发现了DNS 重新绑定漏洞，该应用程序在全球拥有5 亿玩家。该漏洞可能导致玩家被黑客绑架并浏览恶意网站。暴雪已经发布了版本5996。暴雪战网修复已完成。
暴雪Battle.net是暴雪的独立桌面应用程序，用于安装和更新暴雪游戏。更新引擎还可以接收更改设置或执行维护的指令。 Blizzard Battle.net 建立了一个JSON RPC 服务器来侦听本地主机端口1120，并使用自定义形式的身份验证来验证命令是否来自合法来源。 Web 程序可以使用XMLHttpRequest() 命令进行通信。本地主机。
谷歌安全团队“零计划”成员塔维斯·奥曼迪表示，这种设计不安全，可能允许任何网站冒充可信的通信合作伙伴，从而让任何人控制本地主机。 Blizzardbattle.net，黑客可以向客户端发送下载请求并安装DLL、数据文件等。塔维斯·奥曼迪创建了一个概念验证程序来证明他的假设。
2023年12月上旬，Tavis Ormandy通过在暴雪工作的朋友向暴雪战网通报了该漏洞，暴雪战网在5996版本中修复了该漏洞。 Tavis Ormandy表示，暴雪自12月22日起就停止回复他的消息，不知道如何修复该漏洞，没有采纳他的建议，而是选择了更复杂的方法，修复后也没有主动通知他们。说我没有。这让他很不舒服。
本文和图片来自网络，不代表火豚游戏立场，如若侵权请联系我们删除：https://www.huotun.com/game/663984.html