Un fallo en Steam para Windows permite escalar privilegios a SYSTEM sin UAC

Un fallo de seguridad en el cliente de Steam para Windows ha puesto en alerta a administradores de sistemas y responsables de ciberseguridad. La vulnerabilidad, demostrada a través de un proof of concept llamado BrokenPipe, permite a un usuario sin permisos de administrador escalar privilegios hasta el nivel más alto del sistema (NT AUTHORITY\SYSTEM), sin necesidad de introducir contraseñas ni recibir avisos del Control de Cuentas de Usuario (UAC). Esto significa que, en equipos compartidos o corporativos, cualquier persona con acceso físico o remoto limitado podría tomar el control total del dispositivo.

El problema reside en steamservice.exe, un componente del servicio de Steam que se ejecuta con permisos elevados para tareas como actualizaciones o instalación de dependencias. Según los análisis técnicos, el fallo se debe a una validación insuficiente de los scripts de instalación en formato VDF. Aunque estos archivos suelen estar firmados digitalmente para garantizar su autenticidad, la lógica del servicio no verifica correctamente las rutas desde las que se ejecutan. Esto permite a un atacante manipular el proceso para inyectar código malicioso y forzarlo a ejecutarse con privilegios de sistema.

¿Cómo afecta esto a tu equipo?

Por ahora, no se ha confirmado que esta vulnerabilidad se esté explotando activamente en entornos reales, pero su impacto potencial es serio. El ataque requiere que el atacante ya tenga acceso local al equipo con una cuenta de usuario estándar, algo común en ordenadores compartidos (como los de cibercafés, bibliotecas o puestos de trabajo en oficinas). Una vez dentro, el fallo convierte una intrusión limitada en un control absoluto del sistema, permitiendo instalar malware, robar datos o incluso propagarse a otros dispositivos de la red.

Valve, la empresa detrás de Steam, fue notificada del problema meses antes de su divulgación pública, pero aún no hay un parche oficial ni un identificador CVE asignado. Mientras tanto, los expertos recomiendan revisar qué equipos tienen instalado Steam, especialmente en entornos sensibles, y evaluar si el servicio Steam Client Service es realmente necesario. En caso de detectar la versión afectada (10.96.30.42 en Windows 10 o 11), se aconseja priorizar medidas compensatorias, como restringir la ejecución de scripts no confiables o monitorizar actividades sospechosas vinculadas al servicio de Steam.

Qué significa para tu negocio

Si en tu pyme, estudio de arquitectura, inmobiliaria o empresa de reformas utilizáis equipos con Windows para gestionar proyectos, facturas o comunicaciones, este fallo es un recordatorio de que incluso software aparentemente inofensivo —como un cliente de juegos— puede convertirse en una puerta de entrada para ciberataques. La recomendación clave es reducir la superficie de ataque: desinstala aplicaciones no esenciales en equipos críticos, limita los permisos de los usuarios estándar y mantén un inventario actualizado del software instalado. Si Steam es necesario (por ejemplo, para formación o demostraciones), asegúrate de que esté siempre actualizado y monitoriza su actividad. En entornos compartidos, como salas de reuniones o puestos de trabajo temporales, valora la posibilidad de usar cuentas con permisos restringidos o soluciones de virtualización para aislar riesgos. La ciberseguridad no es solo cuestión de herramientas, sino de hábitos: revisar periódicamente qué servicios se ejecutan en segundo plano puede evitar dolores de cabeza futuros.