Des chercheurs ont révélé que Steam contenait une faille qui, exploitée, pouvait permettre une exécution de code arbitraire sur la machine.

La faille résidait dans toutes les versions du client, mais les chercheurs ne sont arrivés à l’exploiter que sous Windows. Les chances de succès étaient d’environ 0,2 % à chaque fois. Le chiffre peut paraître faible, mais les chercheurs évoquent une victime toutes les 512 tentatives, un ratio bien assez dangereux.

La vulnérabilité se situait dans le navigateur de serveurs. Ce dernier permet aux joueurs de chercher un serveur disponible pour certains jeux, dont CS:GO, Half-Life 2 et Team Fortress 2. Les chercheurs ont montré qu’il était possible d’y placer un serveur malveillant.

Valve a été averti du problème en décembre et a corrigé depuis la faille sur l’ensemble des plateformes. Les chercheurs ont été récompensés de 15 000 dollars, auxquels est venue s’ajouter une prime de 3 000 dollars.

On ne sait cependant pas si la faille a eu le temps d’être exploitée, ni Valve ni les chercheurs n’abordant ce point.