Valve выпустила серию защитных обновлений для CS 1.6

Дополнительную строгость обеспечивал cl_filterstuffcmd. При ненулевом значении к ограниченной группе относились и потенциально нежелательные действия вроде изменения fps_max, setinfo или отправки текста через say. Это не отменяло консоль как инструмент игрока: правила различали происхождение команды, а не просто запрещали её всем.

Загружаемые с сервера пользовательские ресурсы начали проходить проверку безопасности имени файла. В нескольких командах ограничили расширения, расширили список блокируемых типов и прекратили поиск динамических библиотек в каталогах пользовательских ресурсов. В результате защиту усиливали одновременно на входе данных и при их последующем использовании.

Список исправлений охватывал переполнения буфера в изображениях, демо, названиях моделей и других компонентах. Valve отдельно упомянула устранение возможностей удалённого выполнения кода в обработке оружейных сообщений и загрузке моделей. Технические способы атаки в новости не нужны: её смысл — в масштабе проверенных границ движка.

Наряду с ограничениями разработчики исправили ошибочную блокировку пользовательских спреев. Этот пункт важен: защита должна отсекать опасные данные, сохраняя нормальную работу допустимого контента. Апрельская сводка представляла целую серию релизов, поэтому её нельзя выдавать за один патч, впервые выпущенный в день публикации сообщения.