Konami patcht kritiek RCE-beveiligingslek in Metal Gear Online 3

In dit artikel:

Konami heeft een kritieke kwetsbaarheid in Metal Gear Online 3 verholpen. Aanvallers konden code uitvoeren op het systeem van spelers die hun online lobby binnenkwamen. Het lek zat in de verwerking van Steam-lobbymetadata over spelers die door de host waren verwijderd.

Bij het betreden van een lobby controleert de game of het Steam-ID van een speler op de lijst met verwijderde spelers staat. Omdat daarvoor een vaste bufferlengte werd gebruikt, kon speciaal gemanipuleerde, te grote metadata een out-of-bounds write veroorzaken. Daardoor was remote code execution mogelijk zonder verdere interactie van het slachtoffer.

Volgens het CERT Coordination Center van Carnegie Mellon University publiceerde Konami geen apart beveiligingsbulletin voor de kwetsbaarheid, die is geregistreerd als CVE-2026-19874. Het probleem is opgelost in versie 1.1.2.9 van mgsvmgo.exe. Spelers met oudere versies kunnen sindsdien niet meer deelnemen aan online wedstrijden.