脆弱なTwitchチャットオーバーレイと、サンドボックスなしのChromiumレンダラー、および既知のV8の脆弱性が組み合わせて、ストリーマーのマシンでリモートコード実行が可能になった。チャットオーバーレイは、サニタイズせずに生のHTMLとして視聴者メッセージをレンダリングしたため、古典的なXSS脆弱性が発生した。OBSのブラウザソースは、サンドボックスが無効なChromium Embedded Frameworkを使用しており、添付されたChromiumのバージョンはCVE-2024-7971に脆弱であるため、攻撃者はJavaScript実行からネイティブコード実行にエスカレートできた。

攻撃チェーンはストリーマーの関係を必要とせず、OBSのデフォルト設定に対して機能した。視聴者は、組み込みブラウザ内で任意のJavaScriptを実行する specially crafted のTwitchメッセージを送信できた。パッチされていないV8エンジンと欠如しているChromiumサンドボックスと組み合わせることで、システム全体が侵害された。

この脆弱性は、友人のカスタムチャットオーバーレイコードがサニタイズされていないチャットメッセージをHTMLに直接挿入していることが発見された際に発見された。OBSのWebSocketインターフェースは現在デフォルトでパスワードを要求するが、ブラウザベースの攻撃ベクトルは依然として悪用可能だった。研究者は、OBS 32.2.2のデフォルト設定に対して問題を実証した。

主要エンティティ: 会社: Twitch, OBS, Chromium