CVE-2017-17878

Valve Steam Link: obcinanie hasła root przez algorytm DES

CVSS 9.8v3.0pub. 2017-12-27upd. 2026-05-13

W Valve Steam Link build 643 hasła root dłuższe niż 8 znaków są obcinane z powodu domyślnego użycia algorytmu DES do haszowania haseł. Skutkuje to znacznym osłabieniem ochrony konta root, ponieważ efektywna długość hasła jest drastycznie ograniczona.

▸ Pokaż oryginał (EN)

An issue was discovered in Valve Steam Link build 643. Root passwords longer than 8 characters are truncated because of the default use of DES (aka the CONFIG_FEATURE_DEFAULT_PASSWD_ALGO="des" setting).

🤖 Analiza AI

Jak działa

Urządzenie Steam Link używa domyślnego algorytmu DES (ustawienie CONFIG_FEATURE_DEFAULT_PASSWD_ALGO="des") do przechowywania haseł systemowych. Algorytm DES obsługuje jedynie pierwsze 8 znaków hasła, ignorując pozostałe. Oznacza to, że dwa hasła różniące się wyłącznie znakami po ósmej pozycji są traktowane jako identyczne, co drastycznie zmniejsza przestrzeń możliwych haseł i ułatwia ich odgadnięcie lub atak brute-force.

Skutki

Atakujący może z łatwością uzyskać nieautoryzowany dostęp do konta root urządzenia, co daje mu pełną kontrolę nad systemem, możliwość modyfikacji firmware oraz dostęp do wszystkich zasobów urządzenia.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się zmianę domyślnego algorytmu haszowania haseł na bezpieczniejszy (np. SHA-512) poprzez aktualizację ustawienia CONFIG_FEATURE_DEFAULT_PASSWD_ALGO oraz zmianę hasła root po aktualizacji.

Kogo dotyczy

Valve Steam Link Firmware, build 643

Uwagi

Podatność została opisana przez Davida Manouchehriego i zgłoszona do Valve Software poprzez publiczne zgłoszenia w repozytorium steamlink-sdk na GitHub (issues #101 i #110). Klasyfikacja CWE-327 odnosi się do użycia złamanego lub ryzykownego algorytmu kryptograficznego.