Metal-Gear-Online-Schwachstelle ermöglicht Hackern die Übernahme von Spieler-PCs

Eine kritische Schwachstelle in Metal Gear Online hätte es Angreifern ermöglichen können, die Computer von Spielern über eine manipulierte Online-Lobby zu kompromittieren. Das Problem betraf Metal Gear Online 3, den in Metal Gear Solid V enthaltenen Mehrspielermodus.

Die als CVE-2026-19874 verfolgte Schwachstelle erhielt eine kritische Schweregradbewertung von 9,1 von 10 Punkten. Konami hat das Problem in Version 1.1.2.9 behoben.

Manipulierte Lobbys konnten Remote-Code-Ausführung auslösen

Die Schwachstelle betraf Daten, die über Steam-Spielelobbys übertragen wurden. Metal Gear Online 3 überprüfte eines der von einem Lobby-Host empfangenen Felder nicht ordnungsgemäß.

Dadurch konnte ein Angreifer eine manipulierte Lobby erstellen und potenziell Code auf dem Computer jedes Spielers ausführen, der ihr beitrat. Die Opfer mussten nach dem Beitritt zum Match weder auf einen Link klicken noch eine Datei herunterladen oder weitere Aktionen durchführen.

CERT/CC warnte davor, dass die Schwachstelle einem einzelnen Angreifer ermöglichen könnte, während eines einzigen Spiels mehrere Spieler zu kompromittieren.

Übertragung der Host-Rechte erhöhte das Risiko

Angreifer mussten nicht unbedingt eine neue Lobby von Grund auf erstellen. In Metal Gear Online 3 werden die Host-Rechte auf einen anderen Teilnehmer übertragen, wenn der aktuelle Host das Spiel verlässt.

Daher konnte ein Angreifer einem laufenden Match beitreten, die Kontrolle als Host übernehmen und anschließend manipulierte Lobby-Daten an alle weiterhin verbundenen Spieler senden.

Dies machte die Schwachstelle in Metal Gear Online besonders gefährlich für Spieler in öffentlichen Mehrspieler-Matches.

Overflow-Fehler beschädigte sensible Speicherbereiche

Das Problem konzentrierte sich auf das Feld kick_num, das die Anzahl der aus einer Lobby entfernten Spieler erfasst. Das Spiel verarbeitet außerdem die Steam-IDs, die mit diesen entfernten Spielern verknüpft sind.

Das Spiel überprüfte jedoch nicht, ob die angegebene Zahl innerhalb sicherer Grenzen blieb. Ein böswilliger Host konnte mehr Daten bereitstellen, als der zugewiesene Speicherpuffer aufnehmen konnte.

Die überschüssigen Daten konnten anschließend benachbarte Speicherbereiche überschreiben, darunter interne Steamworks-Strukturen, die zur Verarbeitung von Lobby-Updates und Nachrichten verwendet werden. Dadurch könnte ein Angreifer den Ausführungsfluss des Spiels umleiten.

Eine erfolgreiche Ausnutzung könnte dazu führen, dass beliebiger Code innerhalb des betroffenen Spielprozesses ausgeführt wird.

Konami sperrt veraltete Versionen vom Online-Spiel

Konami behob die Schwachstelle mit der ausführbaren Version 1.1.2.9. Das Update änderte außerdem die Server- und Lobby-Versionen, wodurch ältere Spielclients keinen Zugriff mehr auf die Online-Dienste erhalten.

Konami hatte zum Zeitpunkt der Offenlegung weder detaillierte Patchnotes noch eine separate Sicherheitswarnung veröffentlicht. Spieler sollten Metal Gear Online 3 aktualisieren, bevor sie an Online-Matches teilnehmen.