CD Projekt RED waarschuwt voor kwetsbaarheid bij installeren Cyberpunk 2077-mods

CD Projekt Red waarschuwt gamers voor het installeren van mods of aangepaste savebestanden voor Cyberpunk 2077. De ontwikkelaar stelt dat 'een kwetsbaarheid in externe dll-bestanden' gebruikt kan worden om code uit te voeren op pc's.

De studio meldt in een statement aan Eurogamer dat het probleem is aangedragen door een groep leden uit de community van de game. CD Projekt RED raadt gebruikers op Twitter aan om 'geen bestanden van onbekende bronnen' te gebruiken. De ontdekker van de kwetsbaarheid, een Cyberpunk 2077-modmaker genaamd PixelRick, stelt dat het onmogelijk is om mods of aangepaste savebestanden te vertrouwen totdat dit probleem is gepatcht. CD Projekt RED zal het probleem naar eigen zeggen 'zo snel mogelijk' oplossen, maar noemt geen concrete verschijningsdatum voor een hotfix.

PixelRick noemt de kwetsbaarheid 'niet moeilijk om te vinden, maar wel lastig om te exploiteren'. De gebruiker legt uit dat Cyberpunk 2077 een buffer overflow kan creëren bij het inladen van een savebestand, welke gebruikt kan worden om de game door te verwijzen naar een oud dll-bestand dat op een vaste locatie is opgeslagen en geen moderne beveiliging heeft.

"In essentie maakt de kwetsbaarheid een niet-uitvoerbaar bestand uitvoerbaar", zo meldt de modmaker aan Eurogamer. Daarmee kan vervolgens code worden uitgevoerd. Volgens PixelRick gebeurt dit 'stilletjes', waarna het echte savebestand zonder foutmeldingen wordt geopend. CD Projekt RED bracht de modtools voor Cyberpunk 2077 vorige week uit. Het is onduidelijk of de kwetsbaarheid momenteel actief wordt uitgebuit op openbare moddingsites als NexusMods. Daarmee is het aan te raden om mods of savebestanden te mijden totdat CD Projekt RED met een oplossing komt.

Reacties (51)

De modders zijn CDPR voor, de mod toolkit heeft hier al een hotfix voor uitgebracht.

https://github.com/yamash...weaks/releases/tag/v1.9.6

EDIT: de meeste mods maken gebruik van deze mod dus zorg ervoor dat je geüpdatet bent!

[Reactie gewijzigd door 1superheld op 3 februari 2021 19:08]

En die modtoolkit ga je waarschijnlijk gebruiken; dus is dit inmiddels oud nieuws of niet?

Deze mod is een veelgebruikt mod requirement ja!

Mod makers die netjes zijn ja, masr modmakers die juist dit willen exploiteren zullen dat natuuijk niet gaan gebruiken.

Voor sommige mods plak je .dll bestanden rechtstreeks in de game directory en die code wordt ook uitgevoerd. Storm in een glas water, seriously. "Code van third parties op internet is niet te vertrouwen!"... ja duh

Voor sommige mods plak je .dll bestanden rechtstreeks in de game directory en die code wordt ook uitgevoerd. Storm in een glas water, seriously. "Code van third parties op internet is niet te vertrouwen!"... ja duh

'Vroeger' had praktisch elke mod wel vervangende/eigen DLL bestanden, en dat was ook allemaal niet ondertekend. Je zou je haast afvragen hoe wij die duistere dagen ooit overleeft hebben.

Gezond verstand, goede beveiligingsmaatregelen, en een tikkeltje geluk.

Van alle games waarmee ik met mods gespeeld heb, of mods gemaakt heb in de afgelopen 25 jaar was er geen een waar ik met DLL bestanden zat te rommelen.

Dat kan ik maar moeilijk geloven, dll injection wordt in heel erg veel mods gebruikt..

Bekendste is waarschijnlijk Reshade,
ook in bijvoorbeeld Skyrim (skyrim script extender), en fallout (fose), wordt dll injection gebruikt. Beide zijn praktisch onmisbaar voor meer uitgebreide mods.

Daarnaast word dll injection ook veel gebruikt om beperkingen in closed source games te omzeilen, om zo modding mogelijk te maken.
Bijvoorbeeld bij games als de Mafia serie die ik toevallig recentelijk weer gespeeld heb.

Wellicht heb je het simpelweg nooit doorgehad dat de mods die je gebruikte dll injection hadden?

SKSE had ik over het hoofd gezien, maar heel veel Skyrim en Fallout 4 mods hebben geen SKSE nodig. ReShade mods heb ik nooit gebruikt.
Maar verder zijn er heel veel games geweest waarvoor je mods kon maken met behulp van de tools die meegeleverd waren. Veel UnrealEngine1, 2, en 3 games. The oudere ID tech games. Veel Build engine games.
Voor de Witcher 3 heb ik volgens mij ook gen mods gebruikt die met DLLs kwamen.
Het over grote deel van de games met Steam Workshop ondersteunen werken op basis van de mod support van games die geen DLL hacks nodig hebben.

Externe libraries en "script extenders" zul je in de modding wereld toch vrij snel nodig hebben, wil je aan de scripting/logica friemelen. Ja - tegenwoordig hebben veel games een vrij open resource-pak die externe content ondersteunt, maar zodra je iets fundamenteels in de game-wereld wil wijzigen, moet je wel met code aan de slag.

Soms heb je ontwikkelaars die user-scripts/mods toestaan, maar veelal is de interne API beperkt: bijvoorbeeld met Skyrim/Fallout 4 is dit niet genoeg om de volledige controle te hebben.

Als je buiten content en config mods iets wil doen, zit je zo aan een externe DLL.

Alias Isolation is een dll-injection-mod voor Alien Isolation, die enorm goede anti-alias toevoegt (terwijl het origineel echt slecht is, wat serieus jammer is voor het spel).

Dat heb ik 2 jaar geleden gebruikt. Echt een aanrader overigens, het spel design heeft veel dunne randjes met hoog contrast, zodat het erg veel aliasing heeft.

Wellicht kan je je nog herinneren dat er ooit een periode was (misschien voor je tijd) waarbij er tweakers waren die geen virusscanners gebruikten, Windows had er toen nog geen ingebakken en downloaden bij de vleet! Want ze wisten de risico's en waren 'slim' genoeg om virussen niet te installeren/ontwijken. Ik denk dat die instelling nu heel wereld vreemd zou zijn. En ik spreek uit ervaring dat je uiteindelijk een keer tegen de lamp loopt, dat je zo vreselijk veel meuk verliest omdat de AV scanner tegen de tijd dat het klaar is van voren af aan kan beginnen met scannen... Diezelfde instelling hadden de Mac en Linux gebruikers ook en ook daar is men van terug gekomen.

Als iets populair wordt en bekend gaan steeds meer mensen het gebruiken, zo ook infectie via mods. Dat mag in het verleden goed zijn gegaan, maar het verleden bied in dit soort aspecten absoluut geen garanties voor de toekomst.

Er is niet zo iets als gezond verstand. En als het er al is hebben de meeste mensen het niet, zeker jij en ik niet! ;-)

Vroeger waren mods dingen die amper met een dll te maken hadden. Eerder een .wad file waar andere textures en sounds in zaten.

Ga niet zeggen dat dat geen kwaad kon maar komen we terug op het eerste, weet je niet de exact bron, vertrouw het niet

Naja, de meeste modders zijn best wel braaf en halen geen rare fratsen uit. Aan de andere kant loop je inderdaad flink wat risico als de ontwikkelaar niet zo fris is - de oude Angry Planes mod is zo'n voorbeeld.

Ook meteen het recentste voorbeeld dat ik ken.

Ja maar door mensen extra bang te maken gaan ze het ontbreken van mods alleen maar toejuichen in de toekomst, want veiliger. De mensen die daadwerkelijk met mods in de weer gaan weten waarschijnlijk allang hoe kwetsbaar ze zijn en zullen daar altijd rekening mee houden. Wat dacht je van al die minecraft mods die er zijn. Precies hetzelfde verhaal maar hoor je niemand over.

minecraft was wel net weer een ander caliber omdat het in java draaide, wat een virtuele machine is in princiepe. .dll bestanden zijn wat heel anders wat dat betreft.

Nee hoor dat maakt in principe geen verschil. Je verwart een runtime omgeving voor een sandbox.

ohja je hebt gelijk. ik was verward met de java virtual machine.

Opzich niets mis met een goede waarschuwing. Vooral als het een spel is dat een groot publiek trekt die misschien niet belend is met het modden van games en waarbij dit de eerste is.

Nu denk ik dat het risico wel mee zal vallen zolang je je mods maar uit een beetje betrouwbare bron haalt.

Precies. GTA bijvoorbeeld heeft tig .dll.

Vrijwel elke game heeft "tig .dll", het zijn bibliotheken voor functies en resources. Vergelijkbaar met .so bestanden in Linux distro's.

Ah mooi nieuws dat de modcommunity en CDPR de handen ineen vouwen dat zal het proces van bugs verhelpen met officiële bug patches en een onofficiële bug patches versnellen en er meer opties en content komen

Mods zoals character aanpassen in uiterlijk en stats en de mogelijkheid om voertuigen en kleding en wapens een andere kleur te geven zijn zeer wenselijk en de textures in Cyberpunk van gebouwen en flora tot npcs kunnen ook veel meer en beter details gebruiken.

Hoop alleen dat de modders verantwoordelijk met de personages om gaan met name J.S en ARCH Bikes want Keanu Reeves doet veel voor zijn imago en heeft de centen om achter deze modders en of CDPR aan te gaan en dat zal het einde zijn voor officiële modding van Cyberpunk...

Vouwen ze echt de handen in één? Dat betwijfel ik. Het is eerder dat CDPR mods gaat gebruiken om hun eigen fixes te creëren en deze in te voeren zonder een bedankje.
Maar het is alles met alles goed voor de gamer. Dat gelukkig wel.

De mod community van the Witcher 3 is bijzonder levendig anders. Volgens mij heeft cdpr daar geen moeite mee.

https://youtu.be/bcACIxx_SZE

Kijk deze mod bijvoorbeeld, ongelooflijk wat een modder er grafisch uit krijgt (game is 6 jaar oud hè)

Ik vind het maar een weinig specifiek statement vanuit CDPR. Zijn er bepaalde mods in omloop die men kan noemen die niet goed zijn? Gaat het om obscure mods of juist om mods die alom publiciteit krijgen?
Het zou fijn zijn als er iets van informatie beschikbaar komt met welke mods je risico hebt gelopen etc.
Nu is het vooral paniek, maar weet je niet om welke mods het gaat.

Deze post geeft in ieder geval iets van info, CET lijkt in ieder geval safe:
https://www.reddit.com/r/...currently_has_a_security/

[Reactie gewijzigd door zzzzz op 3 februari 2021 19:06]

En weer een heel artikel over een bug met Cyberpunk. Het spel is zeker niet perfect, maar dat geldt voor wel meer games. De hoeveelheid aandacht die elke bug in Cyberpunk krijgt, is naar mijn mening wel erg buitenproportioneel.

Iets met hoge bomen en veel wind ...

Daarbovenop is dit ook belangrijke informatie voor diegenen die het spel hebben met mogelijk serieuze gevolgen, en niet de zoveelste bug van het niveau "uit het niets vallende auto", dat buiten het spel zelf weinig relevantie heeft.

[Reactie gewijzigd door emphy op 3 februari 2021 23:26]

Dit is letterlijk hoe alle besturingssystemen vanaf de jaren '90 werken. Elke applicatie die je installeerde op Windows, Mac en Linux had admin rechten nodig en kon daarmee alles wat die gebruiker kan.

In de jaren '90 was dat geen probleem want jij als gebruiker wist vaak heel goed welke code je draaide... nu daartegenin, is het gros van de software die je draait totaal niet transparant en wat zulke programma's op de achtergond doet. Daarom ook dat Windows, Mac en Linux nu nieuwe packaging formaten hebben: Windows en Mac gebruiken het meteen om een walled garden te bouwen via hun Stores, en op Linux heb je Flatpak om te zorgen dat applicaties niet langer meer alle rechten van de gebruiker hebben.

In dertig jaar computer-engineeering weten we nu heel goed dat de software die gebruikers draaien, niet altijd maar vertrouwd moet worden.

Ik heb alleen de minimap mod en de car spawn mod geïnstalleerd en alles werkt nog prima. Zeer zwak stukje programmeren van CDPR zelf namelijk.

Edit: vreemd om een min 1 te krijgen over een keihard feit! De minimap is waardeloos en de car spawn slaat nergens op. Duidelijk een min 1 van een tweaker die de game nooit gespeeld heeft en al helemaal geen idee heeft wat deze 2 mode doen!

[Reactie gewijzigd door Boeteloes op 3 februari 2021 20:28]

Nu vind ik die -1tjes ook overdreven maar als ik moet gokken waar het vandaan komt is dat je het hebt over dat de mods goed werken. Maar dat zegt natuurlijk niet dat de mods veilig zijn. De mods kunnen stiekem op de achtergrond dingen doen natuurlijk wat je niet ziet. Uiteraard willen ze dat je de mod zo lang mogelijk erop laat staan dus is het logisch dat de mod echt wordt. Nu weet ik niet hoe het met Cyberpunk 2077 zit en wat ze kunnen met een onveilige mod. Maar bijvoorbeeld met World of Warcraft kon een onveilige mod bijvoorbeeld je account gegevens versturen zodat je gehackt kon worden. En dat terwijl de mod gewoon deed wat die moest doen en dus vertrouwd aanvoelde.

Alleen was dit al gehotixed vanuit de mod dev's dus oud nieuws

Een officiële patch is toch beter. Ik vermoed dat dit meer mensen bereikt dan een onofficiële hotfix. Vooral omdat bijvoorbeeld Steam automatisch de updates regelt.

Het gaat hier ook niet om of het werkt, maar om beveiliging.

Niet als je je beveiliging goed op orde hebt!

Kan iemand mij vertellen of je deze "kwetsbaarheid" ook simpelweg ongedaan kan maken door de mods weer te verwijderen?

Kan iemand mij vertellen of je deze "kwetsbaarheid" ook simpelweg ongedaan kan maken door de mods weer te verwijderen?

Nee, als je eenmaal een malware mod hebt gebruikt dan is daarna in principe je machine compromised, daarna zou je in principe je hele systeem opnieuw moeten opbouwen. Maar dat gaat natuurlijk erg ver voor de huis- tuin- en keukengebruiker. Een up-to-date malware scanner zou al een heel eind komen.

De kwetsbaarheid wel, maar een eventueel misbruik van de kwetsbaarheid kan al gebeurd zijn, dan maakt het verwijderen van de mods niet veel meer uit.

De kwetsbaarheid kan enkel verholpen worden waneer CDPR een oplossing uitbrengt via een patch en de gebruiker deze instaleert. De kwetsbaarheid zelf kan uitgebuit worden door het gebruiken van mods die van een modmakers met slechte bedoeling komen. De kwetsbaarheid hoeft maar 1 keer uitgebuit te worden om je systeem te infecteren, na infectie de kwetsbaarheid (indien mogelijk) dichten is te laat, zoals je hierboven kan lezen.

maar op windows moet het toch om toestemming vragen? die kan toch niet vanuit zen eigen ineens geactiveerd worden?

De dll zal waarschijnlijk aangesproken worden door de game zelf als je zo een mod inlaad/uitvoert. Daar hoeft de game geen extra toestemming voor.

Die toestemming geef je door gebruik te maken van de game. De game heeft rechten om dll bestanden te laden.

Das Antwarreups volgens mij

Correct Nederlands en correct Engels bestaan zeer zeker wel online.

DLL's kunnen sws altijd al als malware functioneren, voor heel veel applicaties/games. Niet per se iets bijzonders voor cyberpunk.