Google-onderzoeker Tavis Ormandy heeft een beveiligingslek in de games van Blizzard gevonden, zoals StarCraft, Overwatch en World of WarCraft, waardoor het mogelijk was om een dns rebinding-aanval uit te voeren. De games van Blizzard zouden 500 miljoen actieve maandelijkse spelers hebben en beschikken over een tool genaamd "Blizzard Update Agent". Deze tool wordt bij alle Blizzard-games geïnstalleerd.

De tool creëert een server die op localhost-poort 1120 luistert en commando's accepteert om te installeren, verwijderen, instellingen aan te passen en te updaten. Blizzard maakt daarbij gebruik van een zelfontwikkelde authenticatie om te verifiëren dat de commando's van een legitieme bron afkomstig zijn. Via dns-rebinding kan een kwaadaardige website een dns-naam aanmaken waarmee zij mogen communiceren en kunnen die vervolgens naar localhost laten resolven.

Zodoende is het via dns-rebinding mogelijk om commando's naar de tool te sturen, die vervolgens worden uitgevoerd. Een aanvaller kan op deze manier de Downloadmap van het systeem aanpassen en de browser kwaadaardige dll-bestanden laten downloaden. Dit biedt een aanvaller de mogelijkheid om het systeem over te nemen. Windows-programma's maken gebruik van dll-bestanden om te functioneren. Sommige programma's kijken bij het zoeken naar de benodigde dll-bestanden eerst in de eigen map, in plaats van de systeemmap met dll-bestanden. In het geval een aanvaller dan een kwaadaardig dll-bestand in de map van de applicatie weet te krijgen, wordt die door de applicatie uitgevoerd.

Ormandy waarschuwde Blizzard op 8 december vorig jaar. Op 22 december stopte de spelontwikkelaar met communiceren, aldus de Google-onderzoeker. De kwetsbaarheid was echter stilletjes in een nieuwe versie van de Blizzard Update Agent gepatcht, laat Ormandy weten. De oplossing van Blizzard noemt hij echter "bizar" en hij is ook niet blij dat Blizzard de update heeft uitgerold zonder hem te waarschuwen. Vandaag stelt Blizzard in een reactie dat het aan een betere update werkt en het met Ormandy in contact is om miscommunicatie te voorkomen. De Google-onderzoeker is van plan om de komende tijd de veiligheid van meer populaire games te onderzoeken.