Een kwetsbaarheid in de populaire game Factorio maakt het mogelijk voor een malafide server om code op de systemen van spelers uit te voeren. Het beveiligingslek is eind december met de release van versie 1.1.101 verholpen, waarop de ontdekker van het probleem nu de details openbaar heeft gemaakt.

Factorio is een spel waarbij spelers allerlei fabrieken moeten bouwen en biedt zowel singleplayer als multiplayer, waarbij spelers tegen elkaar kunnen spelen. Er zijn meer dan 3,5 miljoen exemplaren van het spel verkocht. Voor een deel van het spel, waaronder logica en zelfgemaakte mappen, wordt de programmeertaal Lua gebruikt. In de multiplayermode hanteert het spel een synchronisatiemethode waarbij als één speler bepaalde Lua-code uitvoert, alle andere spelers dit ook moeten uitvoeren.

Dit biedt mogelijkheden voor misbruik, zo ontdekte de beveiligingsonderzoeker achter het blog 'Memory Corruption'. Wanneer een aanvaller een eigen map creëert die voorzien is van malafide Lua-code, zal deze code automatisch worden uitgevoerd wanneer een speler verbinding met de server maakt waarop de map draait. De vereiste voor een aanval is dan ook dat een slachtoffer verbinding met een malafide server maakt.

Daarnaast maakt de malafide map misbruik van een kwetsbaarheid in de manier waarop Factorio de Lua interpreter had geïmplementeerd, wat het mogelijk maakt om 'fake objects' te maken. Via deze fake objects kan een aanvaller geheugen lekken/corrumperen om zo het gedrag van het programma aan te passen. Uiteindelijk maakt dit code execution mogelijk.