Eine Sicherheitslücke im Source SDK erlaubte nach Angaben von One Up Security Remote Code Execution in Source-Spielen. Der Bericht vom 19. Juli 2017 beschreibt einen Fehler, der beim Laden eines manipulierten Ragdoll-Modells ausgenutzt werden konnte.
Betroffen waren unter anderem Counter-Strike: Global Offensive, Team Fortress 2, Half-Life 2: Deathmatch, Portal 2 und Left 4 Dead 2. Valve veröffentlichte laut Untersuchung im Juni 2017 Aktualisierungen für die populären Titel, teils innerhalb eines Tages nach der Meldung.
Manipulierte Ragdoll-Daten lösen den Überlauf aus
Technischer Ausgangspunkt war die Funktion nexttoken im Source SDK. One Up Security beschreibt dort eine fehlende Längenprüfung: Ein Token mit mehr als 256 Zeichen konnte den Puffer szToken auf dem Stack überschreiben und die Rücksprungadresse verändern. Dadurch war eine Ausführung fremden Codes möglich.
Die manipulierten Daten konnten über eine benutzerdefinierte Karte verteilt werden. Beim Laden ersetzte der Client damit das Ragdoll-Modell eines Spielers. Die Untersuchung veröffentlichte keinen vollständigen Exploit, weil nicht alle betroffenen Mods aktualisiert waren. Für Server und Spieler blieben aktuelle Patches, aktivierte Schutzmechanismen und ein vorsichtiger Umgang mit Drittanbieterinhalten relevant.
Die Sicherheitslücke betraf damit nicht nur ein einzelnes Spiel, sondern eine gemeinsam genutzte Codebasis. Valve hatte auf der GDC 2015 bereits die nächste Engine-Generation Source 2 vorgestellt. Der Vorfall zeigte zugleich, dass ältere Source-SDK-Komponenten und darauf basierende Mods eigene Wartung benötigen.