Сообщение в Twitch может привести к выполнению кода на ПК стримера через OBS
Исследователи Orange показали атаку, при которой одно вредоносное сообщение в Twitch может стать отправной точкой для выполнения нативного кода на Windows-ПК стримера. Цепочка затрагивает OBS Studio, пользовательские Twitch-оверлеи и старую уязвимость Chromium.
Проблема касается OBS Studio 32.2.2 и более старых версий, если пользователь не менял стандартные настройки безопасности. При этом обычная установка OBS сама по себе не означает, что стример уязвим. Критическим звеном становится Browser Source, который выводит данные зрителей как HTML без предварительной очистки.
Как сообщение превращается в выполнение кода
Исследование началось после того, как специалисты Orange заметили скриншот пользовательского Twitch-оверлея. Его код вставлял сообщения зрителей непосредственно в веб-страницу как HTML. В результате возникала XSS-уязвимость, позволявшая зрителю выполнить JavaScript внутри оверлея.
В феврале 2026 года Orange начал работу с разработчиком оверлея. В июле исследователи воспроизвели всю цепочку на актуальной Windows 11. 19 августа информацию передали команде OBS, а публично исследование раскрыли 22 сентября.
Механика атаки упирается в Browser Source. OBS использует для веб-контента Chromium Embedded Framework, или CEF. Через него в сценах появляются чаты, уведомления о донатах, подписках, фолловерах, анимации и другие интерактивные элементы.
В OBS Studio 32.2.2 использовался Chromium 127.0.6533.120 с V8 12.7.224.18. Эта связка содержала уязвимость CVE-2024-7971, связанную с type confusion в V8. Google исправила ее еще в Chrome 128 в августе 2024 года.
Причем CVE-2024-7971 уже использовалась в реальных атаках. Microsoft связывала ее эксплуатацию с северокорейской группировкой, которую компания отслеживает как Citrine Sleet, а CISA внесла уязвимость в каталог Known Exploited Vulnerabilities.
Orange создала собственный proof of concept для версии CEF из OBS. В продемонстрированной цепочке вредоносное сообщение Twitch запускало XSS в оверлее, JavaScript использовал CVE-2024-7971 для получения выполнения нативного кода внутри Chromium renderer, а отключенный sandbox позволял обойти необходимость искать отдельную уязвимость для выхода из песочницы.
Именно здесь ситуация становится особенно неприятной. OBS отключил Chromium sandbox, поэтому после компрометации renderer дополнительный sandbox escape для продолжения атаки не требовался.
Кто реально находится под угрозой
Обычный пользователь OBS, который просто запускает программу, автоматически под ударом не оказывается. Нужен удаленный вход через Browser Source, где данные, контролируемые зрителем, попадают в HTML без санитизации.
Исследователи отдельно отмечают еще один возможный сценарий. Потенциальной точкой входа может стать вредоносная веб-страница, непосредственно загруженная в OBS Browser Source или browser dock.
OBS уже готовит защиту. Проект переводит встроенный браузер на CEF 128 или более новую версию, а соответствующие изменения в obs-browser и obs-studio были объединены в сентябре. Параллельно разработчики проверяют возможность повторного включения Chromium sandbox. Ранее с ним возникали проблемы совместимости, связанные с авторизацией.
До выхода и установки обновленных сборок логика для стримеров простая: Browser Source нужно считать недоверенным содержимым. Сообщения зрителей следует выводить обычным текстом, если HTML действительно не нужен. Если без HTML не обойтись, данные необходимо санитизировать перед передачей в OBS.
Главная проблема здесь не в самом Twitch. Опасная цепочка появляется на стыке нескольких компонентов: пользовательский оверлей принимает неподготовленный HTML, OBS запускает его через встроенный Chromium, а устаревший V8 содержит уже известную и эксплуатировавшуюся уязвимость. Одного сообщения в чате для такой цепочки оказалось достаточно.
