Steam : deux PC sur le même compte suffisaient pour prendre la main sur l’un d’eux, sans un clic
Un chercheur a montré qu'un PC connecté à votre compte Steam pouvait lancer du code sur un autre, sans un clic. Le prérequis compte, et trois réflexes aussi.
Votre compte Steam est ouvert sur le PC du salon et sur celui du bureau. Les deux machines bavardent en coulisses : téléchargements programmés, progression des installations. Bryan Alexander, chercheur chez Atredis Partners, a montré que ce bavardage pouvait servir à prendre la main sur l’une d’elles, sans le moindre clic de la victime.
Son rapport, « Turning the Valve », publié le 28 octobre et présenté en partie à la conférence BSides PDX, détaille plusieurs failles du client Steam pour Windows, codes de démonstration à l’appui, rapporte IT-Connect.
Trois failles pour un tour de magie
Les deux premières sont des débordements de mémoire. Un message de synchronisation recopie une liste de jeux dans une boîte de taille fixe sans vérifier sa longueur : au-delà de 200 éléments, elle déborde. Un autre fait de même avec un tableau de sept cases.
La troisième fournit le plan. Windows place le code de Steam à une adresse tirée au sort, pour que l’attaquant vise à l’aveugle. Mais quand Steam partage sa liste de téléchargements, il envoie toujours 32 cases et remplit les vides avec des restes de mémoire, adresses internes comprises. L’attaquant n’a plus qu’à viser. Démonstration faite d’une machine virtuelle Windows 10 vers un PC Windows 11 à jour.
Le prérequis qui change tout
Il faut contrôler un client Steam connecté au même compte que la victime, donc avoir d’abord volé ce compte. Pas de quoi dormir sur ses deux oreilles : les logiciels voleurs de mots de passe ciblent volontiers les comptes de jeu, et un compte volé devient alors une porte d’entrée vers tous les PC qui y sont reliés.
Le rapport décrit aussi comment obtenir les pleins pouvoirs sur une machine déjà touchée, via le service d’installation de Steam : un script signé par Valve détourné (celui de BioShock Infinite), la validation automatique des fenêtres de confirmation de Windows via Remote Play, ou l’installation d’un pilote vulnérable par la fonction prévue pour le dongle du casque Steam Frame (on en avait parlé : le Steam Frame et son pilote de lecteur CD).
Corrigé ? Probablement, sans garantie
Atredis affirme que toutes les failles sont corrigées ou ont dépassé son délai de divulgation. Mais le rapport ne précise ni le statut de chacune, ni les versions concernées, et ne cite aucun identifiant CVE. Deux des élévations de privilèges avaient été classées comme doublons, une troisième signalée par un autre chercheur.
Trois réflexes
- Laissez Steam se mettre à jour, puis redémarrez-le.
- Sur la page de votre compte, rubrique Steam Guard, déconnectez tous les autres appareils si la liste vous semble suspecte.
- Activez Steam Guard avec l’application mobile : un mot de passe volé ne suffit plus pour ouvrir une session.
En bref
- Atredis Partners a publié le 28 octobre 2026 un rapport sur plusieurs failles du client Steam pour Windows.
- Deux PC connectés au même compte suffisaient pour exécuter du code sur l’un d’eux sans clic, à condition de contrôler ce compte.
- D’autres failles donnaient les pleins pouvoirs sur une machine déjà touchée.
- Atredis dit les failles corrigées ou divulguées à échéance, sans versions ni CVE : mettez Steam à jour et activez Steam Guard.
Sources : IT-Connect.
Cet article…
Le Bien Heureux · Rédaction Capibara · Mardi 3 novembre 2026