Сообщение в чате Twitch могло запустить код на ПК стримера через уязвимый оверлей в OBS
Исследователи Orange связали XSS в самописном оверлее чата с CVE-2024-7971 в устаревшем Chromium внутри OBS Studio 32.2.2. Цепочку раскрыли 22 сентября.
Исследователи Orange показали цепочку атаки, при которой сообщение в чате Twitch приводит к выполнению кода на Windows-ПК стримера через OBS Studio. Публично её раскрыли 22 сентября 2026 года, разбор опубликовали CyberInsider и SC World.
Точкой входа стал самописный оверлей чата в Browser Source. Он вставлял сообщения зрителей на страницу как HTML без очистки, то есть был уязвим к XSS. Стандартная установка OBS сама по себе не уязвима: для атаки нужен оверлей, который рендерит сообщения зрителей как HTML.
Дальше атака опиралась на встроенный браузер. OBS Studio 32.2.2 поставлялась с Chromium 127.0.6533.120 и V8 12.7.224.18, уязвимыми к CVE-2024-7971. Google закрыла эту уязвимость в Chrome 128 в августе 2024 года, её используют в реальных атаках. Встроенный Chromium (CEF) в OBS работал с отключённой песочницей, поэтому отдельный выход из неё не понадобился.
Orange сообщила команде OBS о проблеме 19 августа. OBS обновляет встроенный браузер до CEF 128 и новее, изменения влиты в сентябре, и проверяет, можно ли вернуть песочницу. «Сообщения зрителей следует вставлять как обычный текст везде, где это возможно», — советуют исследователи.
Microsoft связывала CVE-2024-7971 с северокорейской группировкой Citrine Sleet. Уязвимость внесена в каталог CISA KEV.