Vulnérabilité critique dans Metal Gear Online 3 : un correctif déployé par Konami
Metal Gear Online 3, le mode multijoueur de Metal Gear Solid V: The Phantom Pain, présentait une vulnérabilité majeure. Cette faille permettait à l’hôte d’un salon Steam d’exécuter du code arbitraire sur les machines des joueurs qui rejoignaient le salon, sans que ceux-ci n’aient à intervenir. Konami a depuis mis en place un patch pour corriger ce problème.
Contexte factuel
Lancé en 2015, Metal Gear Online 3 propose des affrontements en ligne de 8 contre 8 pour les détenteurs de Metal Gear Solid V: The Phantom Pain. Le système de matchmaking de Steam est utilisé pour organiser les salons de jeu. La vulnérabilité a été identifiée dans le traitement des métadonnées des salons, selon le CERT/CC de l’université Carnegie Mellon.
Le mécanisme d’exclusion des joueurs repose sur deux champs :
kick_num, qui détermine le nombre de joueurs à exclure,kicked_id_%i, qui contient les identifiants Steam des joueurs exclus.
Lorsqu’un client rejoint un salon, il vérifie si son identifiant figure sur la liste d’exclusion. Cependant, une erreur dans le code empêche la comparaison entre kick_num et la taille du tampon alloué pour stocker ces identifiants. Un hôte malveillant peut donc annoncer un nombre supérieur à la capacité prévue, entraînant des écritures hors limites en mémoire.
Données ou statistiques
Le CERT/CC a associé cette vulnérabilité à la référence CVE-2026-19874. La mémoire située juste après le tampon est sensible, car elle contient des structures internes de Steamworks. L’exploitation de cette faille permettrait à un attaquant de détourner le flux d’exécution du programme.
Conséquence directe
La vulnérabilité a été corrigée dans la version 1.1.2.9 de l’exécutable mgsvmgo.exe. Selon le bulletin du CERT/CC daté du 24 août 2026, Konami a été notifié le 15 juillet 2026, mais n’a pas répondu aux chercheurs. Les joueurs doivent installer le correctif pour accéder au mode en ligne, car le numéro de version serveur a été modifié, rendant les anciennes versions inaccessibles.
Source : CERT/CC, SteamDB.
