[ROZWIĄZANE] WAŻNE: podatność w kodzie na PC

[Vattier]

Jeśli planujecie używać modów albo zapisów gry z nieznanego źródła zalecamy ostrożność. Została znaleziona podatność w kodzie związana z zewnętrznymi plikami DLL, których gra używa do wykonywania kodu na PC. Problem zostanie wkrótce naprawiony, jednak zanim to się stanie prosimy aby unikać używania plików z nieznanych źródeł.

Aktualizacja:
Podatność została zaadresowana w Hotfixie 1.12

 

[orzech5555]

Podobno "Cyber Engine Tweaks" naprawia tą lukę. Może się ktoś do tego odnieść czy to plotka czy nie?

 

[Robin991]

Przydałoby się więcej informacji. Np. czym grozi ta luka.

 

[xaero212]

Przydałoby się więcej informacji. Np. czym grozi ta luka.

Dokładnie. Oraz na co dokładniej uważać.

 

[GregGryzzli]

Ok, I feel like I need to say something, this kind of bad practice has to stop.

Let me introduce myself, I am yamashi the creator of Cyber Engine Tweaks.

I wasn't planing on saying anything but since we, the modders, are getting blamed for this, I can't just stand on the sidelines and take it.

What CDPR posted above is WRONG, it isn't caused by an external DLL, the vulnerability is caused by a buffer overflow in a function they use to load strings, this function is used more than 100 times in the game, it is used to load the save games, the archive assets and other parts that we haven't investigated. This is 100% CDPR's fault, it isn't anybody else's fault. This is caused by a lack of proper unit testing.

What happened to owning up to your mistakes CDPR? Not only did PixelRick communicate this a week ago and you didn't do anything (this should have been hotfixed a few hours after you knew about it), but then you go public lying about the nature of the vulnerability so that modders take the fall for this? What we do, we do for free, we aren't your scapegoat, and this is definitely on you. The fact that we redirect the buffer overflow to xinput because it doesn't have ASLR does not mean that it's xinput's fault, we shouldn't be able to access xinput in the first place.

Just so you know everyone this isn't just a PC issue, every platform is affected.

It has been exploited to gain access to Geforce NOW already, maybe you should explain to NVIDIA how it is not your fault CDPR, I am not sure that's going to work once they audit the exe.

I explained the issue with some details in the readme of my save editor project here:
https://github.com/PixelRick/CyberpunkSaveEditor/blob/main/README.md

I have put the proof of concept on github too but it is currently held private for the usual 45+ days of non-disclosure as half of the issue concerns a microsoft library.


I added a mini-comment in the readme to prove that yamasushi is indeed yamashi.

Z tego forum tylko z en.

https://www.nexusmods.com/news/14468

 

[-PixelRick-]

Z tego forum tylko z en.

Hello, I ended up on the polish thread somehow..

 

[Robin991]

Czyli przez Waszą lukę, żeby korzystać z modów będę musiał zrobić update do s....zepsutej wersji 1.11. Super.

 

[GregGryzzli]

Hello, I ended up on the polish thread somehow..

Hello, of course we also use nexusmods and I hope your work is good for all of us.

 

[-PixelRick-]

Czyli przez Waszą lukę, żeby korzystać z modów będę musiał zrobić update do s....zepsutej wersji 1.11. Super.

No 1.11 doesn't fix the issue, you can stay with 1.1 until 1.12 is out. Don't be scared, risk is low, it has been discovered early enough in my opinion.

 

[Robin991]

Currently I am on 1.06 and for now I don't want to update, because for me in last patch there is more issues than in 1.06.

 

[Yakin]

Przypominamy, że na polskim forum piszemy po polsku. Wyjątkowo nie usuwamy tych postów, bo odpowiedź angielska została "wywołana" cytatem, ale jeśli chcecie kontynuować w tym języku, to zapraszam TUTAJ.

 

[Vattier]

Podatność została zaadresowana w Hotfixie 1.12

 

[orzech5555]

Podatność została zaadresowana w Hotfixie 1.12

Fantastycznie. Szkoda, że hotfix 1.11 sam w sobie się nie nadaje na PC, to nie jest aktualizacja tylko wstecznalizacja. Próżny wasz trud a moje nadzieje. Osobiście wolałbym rozwiązanie z cyber engine tweaks niż z łatką. Ale na moje pytanie nikt nie raczył odpowiedzieć. Zadziwiające, że na pytania nikt nie odpowiada ale udziela upomnień i ostrzeżeń. Należało by odpowiedzieć sobie na pytanie dla kogo i po co jest to forum. Pozostanie grać na wersji 1.06 z tymi wszystkimi błędami i bez nadziei na ich poprawę.

 

[Robin991]

Należało by odpowiedzieć sobie na pytanie dla kogo i po co jest to forum.

To jest bardzo dobre pytanie. Ale nie licz na odpowiedź.

 

[Szincza]

To jest bardzo dobre pytanie. Ale nie licz na odpowiedź.

Ależ ja chętnie odpowiem, że forum jest dla ludzi, którzy skupiają się wokół produktów firmy jako fani.
Pozostaje wciąż jedną z oficjalnych platform komunikacyjnych studia i komunikacja ta najczęściej, choć nie zawsze, zamyka się w publikowanych newsach. Nietrudno zgadnąć dlaczego.

Błędnym jest założenie, że można tutaj studio z czegokolwiek rozliczać i wzywać poszczególnych pracowników na przysłowiowy dywanik, to miejsce nigdy do tego nie służyło i nigdy służyć nie będzie, więc roszczeniowa postawa i dochodzenie swoich, oczywiście jedynie słusznych racji na linii konsument - producent zwyczajnie rozmija się całkowicie z ideą platformy, której cel zamyka się w jej nazwie.
Forum dyskusyjne służy do dyskusji, ni mniej, nie więcej.
Krytyka, dezaprobata, niezadowolenie mogą, a jak nakazuje zdrowy rozsądek, nawet powinny być częścią tej dyskusji, tak samo jak entuzjazm, ekscytacja, czy zwyczajna radość, którą, zapewne wbrew opinii niektórych, da się z gry czerpać. A wszystko to przy zachowaniu zasad Regulaminu, który każdy akceptuje nie tylko rejestracją, ale każdorazowym logowaniem.
I upominanie, czy udzielanie ostrzeżeń odbywa się wyłącznie wtedy, kiedy ten Regulamin jest łamany.

 

[Robin991]

Ależ ja chętnie odpowiem, że forum jest dla ludzi, którzy skupiają się wokół produktów firmy jako fani.
Pozostaje wciąż jedną z oficjalnych platform komunikacyjnych studia i komunikacja ta najczęściej, choć nie zawsze, zamyka się w publikowanych newsach. Nietrudno zgadnąć dlaczego.

Błędnym jest założenie, że można tutaj studio z czegokolwiek rozliczać i wzywać poszczególnych pracowników na przysłowiowy dywanik, to miejsce nigdy do tego nie służyło i nigdy służyć nie będzie, więc roszczeniowa postawa i dochodzenie swoich, oczywiście jedynie słusznych racji na linii konsument - producent zwyczajnie rozmija się całkowicie z ideą platformy, której cel zamyka się w jej nazwie.
Forum dyskusyjne służy do dyskusji, ni mniej, nie więcej.
Krytyka, dezaprobata, niezadowolenie mogą, a jak nakazuje zdrowy rozsądek, nawet powinny być częścią tej dyskusji, tak samo jak entuzjazm, ekscytacja, czy zwyczajna radość, którą, zapewne wbrew opinii niektórych, da się z gry czerpać. A wszystko to przy zachowaniu zasad Regulaminu, który każdy akceptuje nie tylko rejestracją, ale każdorazowym logowaniem.
I upominanie, czy udzielanie ostrzeżeń odbywa się wyłącznie wtedy, kiedy ten Regulamin jest łamany.

Oczywiście, zgoda z pierwszym akapitem. Jednakże miło by było od czasu do czasu być zaszczyconym jakąkolwiek reakcją ze strony dewelopera. Nie jest to oczywiście jego obowiązkiem, ale w związku z nie oszukujmy się, nie najlepszą premierą produktu, byłby to miły gest (nie wliczam w to słynnej obietnicy - jak się okazało - bez pokrycia).
Nie mogę się natomiast zgodzić ze stwierdzeniem "roszczeniowa postawa". Sam fakt zaistnienia słynnych przeprosin i obietnicy poprawy dowodzi, że z grą jednak nie do końca jest wszystko w porządku. Więc określanie ludzi, którzy wydali na produkt swoje ciężko zarobione pieniądze, i którzy czasami nie mają możliwości kontynuowania rozgrywki z powodu błędów roszczeniowymi jest delikatnie powiedziawszy sporym nadużyciem. Gdzie, ci biedni ludzie mają pisać o tym jak nie na forum zatytułowanym Cyberpunk 2077? Do CEO CD Project RED? Poprosimy o adres w takim razie.
Nie mówiąc już o tym, że ci sami ludzie są często beta testerami niekompletnego produktu, nie otrzymując za to żadnego wynagrodzenia, co oczywiście jest firmie na rękę gdyż nie musi doinwestowywać działu testów.
Na koniec. Już wielokrotnie tutaj pisałem, że chyba jestem szczęściarzem bo u mnie gra działa prawie normalnie, ale wraz z kolejnymi "patchami" i hotfix'ami mój optymizm maleje.

 

[undomiel9]

Ale deweloper reaguje: potwierdza, że są błędy, że nie jest tak, jak być powinno, przeprasza za to i co chwilę podrzuca większe i mniejsze łatki.
To, że nie jest to reakcja, jakiej oczekuje Tomek albo Asia - no ok, nie jest. Jest, jaka jest i - podobnie jak z samą grą - jednym wystarcza, a innym nie.

Szincza przypomniał, do czego służy forum, więc dyskutujcie. Dyskutujmy.
Przypomniał też, do czego nie służy - i takie są po prostu fakty. I z czym tu teraz dyskutować? Że fakty takie są, a ktoś chce, żeby były inne?

Myślę, że to miał na myśli, pisząc o roszczeniach: nie, że graczom się nie podobają błędy i je krytykują (do czego mają prawo na forum ile chcąc) tylko - że oczekują w związku z tym wielu rzeczy, z których nie wszystkie są teraz wykonalne, a niektóre może wcale.
Jeśli ktoś mimo wszystko ich oczekuje, a w którymś momencie ich wręcz żąda, no to jak to nazwać inaczej? Kłania się definicja roszczenia (PWN, prawo cywilne) - to słowo ma neutralny wydźwięk, btw. A źle się kojarzy dopiero wówczas, kiedy oczekiwania są eksponowane nadmiernie i wbrew logice i/lub możliwościom adresata.
A to ma tu miejsce w niektórych przypadkach.

Ja rozumiem, że w dzisiejszych czasach to jakaś taka... norma: poproszę adres, napiszę skargę, już ja powiem, co myślę, niech usłyszą.
No ok. To wolny kraj. Adres CDPR tajemnicą nie jest przecież.

A forum służy do dyskusji - o to padło pytanie i taka jest odpowiedź. To w sumie powinno wyczerpać temat?

 

[Szincza]

Nie mogę się natomiast zgodzić ze stwierdzeniem "roszczeniowa postawa". Sam fakt zaistnienia słynnych przeprosin i obietnicy poprawy dowodzi, że z grą jednak nie do końca jest wszystko w porządku. Więc określanie ludzi, którzy wydali na produkt swoje ciężko zarobione pieniądze, i którzy czasami nie mają możliwości kontynuowania rozgrywki z powodu błędów roszczeniowymi jest delikatnie powiedziawszy sporym nadużyciem.

Rzecz w tym, że niemal wszyscy, którzy określoną przeze mnie jako roszczeniową postawę przyjmują, używają argumentów opartych na stawianiu żądań i wymagań względem produktu, który z różnych przyczyn nie spełnia ich oczekiwań - a droga dochodzenia praw i obowiązków kończy się tak na dobrą sprawę na możliwości zwrotu wspomnianego produktu. Te ciężko zarobione pieniądze „wyrzucone w błoto” na „tego niedokończonego bubla” którego użytkownicy są „betatesterami” można było odzyskać i zamknąć sprawę. Skoro ktoś z tej opcji nie skorzystał, musi w bilansie zysków i strat uwzględnić możliwość, że ostatecznie satysfakcji nie uzyska.

Tak jak wspomniała @undomiel9, studio doskonale zdaje sobie sprawę z niedoskonałości produktu. Ile mogą, tyle z pewnością naprawią, nie ma możliwości żeby zadowolić przy tym wszystkich i potencjalne niezadowolenie właśnie tu można wyrazić. Ale oczekiwanie przy tym, że pojawi się tu skruszony pracownik i będzie wszystkich osobiście przepraszał jest mrzonką. To nie jest kanał obsługi klienta, tylko miejsce skupiające wokół siebie społeczność graczy chcących o produkcji rozmawiać.

 

[Robin991]

Rzecz w tym, że niemal wszyscy, którzy określoną przeze mnie jako roszczeniową postawę przyjmują, używają argumentów opartych na stawianiu żądań i wymagań względem produktu, który z różnych przyczyn nie spełnia ich oczekiwań - a droga dochodzenia praw i obowiązków kończy się tak na dobrą sprawę na możliwości zwrotu wspomnianego produktu. Te ciężko zarobione pieniądze „wyrzucone w błoto” na „tego niedokończonego bubla” którego użytkownicy są „betatesterami” można było odzyskać i zamknąć sprawę. Skoro ktoś z tej opcji nie skorzystał, musi w bilansie zysków i strat uwzględnić możliwość, że ostatecznie satysfakcji nie uzyska.

Tak jak wspomniała @undomiel9, studio doskonale zdaje sobie sprawę z niedoskonałości produktu. Ile mogą, tyle z pewnością naprawią, nie ma możliwości żeby zadowolić przy tym wszystkich i potencjalne niezadowolenie właśnie tu można wyrazić. Ale oczekiwanie przy tym, że pojawi się tu skruszony pracownik i będzie wszystkich osobiście przepraszał jest mrzonką. To nie jest kanał obsługi klienta, tylko miejsce skupiające wokół siebie społeczność graczy chcących o produkcji rozmawiać.

Chciałem już wejść do Night City, ale muszę odpowiedzieć, bo mój wywód chyba został źle zrozumiany.
Jak można było przeczytać, nie odnosiłem się do takich ludzi, którzy żądają cudów lub wręcz symulacji życia od gry. Odnosiłem się do ludzi, którzy powtórzę nie mogą grać przez poważne błędy. A tutaj jedni i drudzy zostali wrzuceni do jednego wora. Dobrze, że padło sprostowanie, o którą grupę moderatorowi chodzi.
Fakt, grę można było oddać, ale czy PC'tową wersję również? A co jeżeli hotfix lub patch powoduje niemożliwość gry? Czy po 150h grania można też oddać produkt?
Nie padły w mojej wypowiedzi również zacytowanie sformułowania: "wyrzucone w błoto" i "niedokończonego bubla".
Co do betatesterów to paradoksalnie na angielskojęzycznym forum podczas pisania mojego posta ktoś otworzył (edit: odpowiedział w wątku) wątek: "Czy jestem betatesterem". Ile stron ma wątek dotyczący wyłapanych błędów? Chyba jednak coś w tym jest.
"Ale oczekiwanie przy tym, że pojawi się tu skruszony pracownik i będzie wszystkich osobiście przepraszał jest mrzonką."
Kto tego oczekuje? Co warte są przeprosiny już przecież wiemy. Śmiem twierdzić, że zdecydowana większość ludzi oczekuje tylko i wyłącznie naprawienia błędów psujących rozgrywkę, których nie powinno być w wersji 1.00. Aż i tylko tyle.

 

[Barhir]

Mi miło by było usłyszeć od Developera jakieś konkrety. Forum służy też do komunikacji a CD Projekt unika komunikacji i rzuca ogólniki. Dziś chciałem sprawdzić jak gra wygląda po patchu 1.12. Zapisałem sobie specjalnie save przed jedna z misji fabularnych przy, której doświadczyłem wiele niedoskonałości. Chodzi o misje sinnerman, w trakcie jazdy/pościgu 2 razy automatycznie zmieniła mi się pora dnia nagle z południa stał się wieczór a potem znów cudownym sposobem objawił się dzień. Trzy pojazdy z którymi się zderzyłem zniknęły i w powietrzu został sam NPC w pozie kierowania. I co ja mam o takim produkcie myśleć? Minęły 2 miesiące od premiery i Państwa zapewnień o jakości. Mamy luty a nawet jego pierwszy tydzień za nami, a my nawet nie wiemy kiedy spodziewać się łatki (w lutym) ani co konkretnie będzie w tej łatce? Kolejne zmiany dla konsol? Bardzo chciałbym cieszyć się z gry w Cyberpunka ale dosłownie w każdej misji fabularnej (ja już pomijam tragiczny system policji itp i nawet nie wymagam, żeby to było dodane) coś nie gra i psuje imersje. Animacje są niespasowane, pojawiają się losowe obiekty, pojazdy/postacie poruszają się jakimiś dziwnymi ścieżkami i mógłbym wymieniać tak godzinami. Naprawdę nie traktuje tej gry jak GTA V ale jak mam się cieszyć najlepszym elementem tej gry (fabuła) jak podczas rozgrywki dzieją się takie rzeczy?