Playstation Now : une faille critique met en danger des millions de PC sous Windows

Le Playstation Now, le service de cloud gaming de Sony, abrite plusieurs failles de sécurité critiques. Elles permettent à des attaquants d'exécuter du code arbitraire sur les PC des utilisateurs. Ces vulnérabilités concernent la version 11.0.2 du PS Now, ainsi que toutes les versions antérieures fonctionnant sous Windows 7 SP1 ou plus récent.

Tandis que des abonnés du Playstation Now peuvent mettre la main sur Horizon Zero Dawn en décembre 2020, Sony vient de confirmer une trouvaille inquiétante. Enfin, le service de cloud gaming abritait plusieurs failles de sécurité critiques. Si elles venaient à être exploitées, un attaquant serait en mesure d'exécuter du code arbitraire sur les PC sous Windows des utilisateurs.

Ces vulnérabilités ont été découvertes par le chercheur en sécurité informatique Parsia Hakimian, chasseurs de bugs à ses heures perdues. Ses failles concernent la version 11.0.2 du Playstation Now, ainsi que toutes les moutures antérieures du service fonctionnant sous Windows 7 SP1 ou plus récent.

Parsia Hakimian a repéré ces failles le 13 mai 2020, via le programme de chasse aux bugs de Sony et organisé par HackerOne, une plateforme de coordination des vulnérabilités et de correction des bugs qui met en relation les entreprises et les chercheurs en cybersécurité. Le 25 juin 2020, Sony a corrigé ces failles et les déclaré comme “Résolues” dans son rapport.

Le PS Now vulnérable, 2 millions de cibles potentielles

Comme l'explique Parsia Hakimian, cette brèche était le produit de trois failles distinctes, qui une fois combinée, permettent à des hackers non authentifiés de lancer des attaques par exécution de code à distance (également appelées RCE, pour Remote Code Execution) en abusant d'une faiblesse d'injection du code.

“Tout site web chargé dans un navigateur sur la même machine peut exécuter un code arbitraire sur la machine via une connexion web vulnérable”, détaille Parsia Hakimian. Pour exploiter avec succès cette brèche, les pirates doivent tromper les utilisateurs du PS Now pour qu'ils ouvrent un lien malveillant, distribué soit via un mail de phishing, des forums ou des canaux Discord par exemple.

Le chercheur en sécurité informatique a d'ailleurs été grassement récompensé par le constructeur pour sa trouvaille, à hauteur de 15 000 dollars. Ce qui en dit long sur la gravité de ces failles. Notons que la chasse aux bugs de Sony n'était destiné aux failles Windows, mais plutôt aux systèmes Playstation 4 et Playstation 5 ou encore les accessoires et le réseau Playstation. Autant dire que Sony ne s'attendait pas à la découverte d'une telle faille.

Source : Bleeding Computer