Vulnerabilidad de elevación de privilegios en el Cliente de Origin
EASEC-2020-002
Gravedad: importante
Puntuación de CVSS: 7,8
Impacto: elevación de privilegios
Estado: resuelta
Software afectado: Origin versión 10.5.86 (o anterior) para Mac y PC
ID de CVE: CVE-2020-27708
Descripción
Existe una vulnerabilidad en el Cliente de Origin que podría permitir a un usuario no administrativo elevar su acceso a administrador o sistema. Si un usuario obtiene acceso elevado, es posible que pueda tomar el control del sistema y realizar acciones normalmente reservadas a usuarios con privilegios elevados o a administradores del sistema.
Situación para el ataque
Para poder aprovechar la vulnerabilidad, el atacante debe tener credenciales de usuario válidas con la capacidad de iniciar sesión en el equipo con el Cliente de Origin instalado. Después de iniciar sesión en el sistema, el atacante debe crear un directorio con un nombre específico en una ubicación fija en C: y añadir un complemento de Qt personalizado al directorio.
Elevación a sistema
Después de seguir los pasos anteriores, el atacante puede obtener los privilegios de NT AUTHORITYSystem mediante los siguientes pasos:
- Detener el servicio del Cliente de Origin.
- Reiniciar el servicio del Cliente de Origin.
Elevación a administrador
Tras realizar los pasos anteriores, el atacante debe:
- Esperar a que otro usuario con privilegios de administrador ejecute el instalador del Cliente de Origin o el desinstalador del Cliente de Origin y siga la petición de elevación del control de Cuentas de usuario.
- Convencer al usuario administrativo para que ejecute el Cliente de Origin, la Herramienta de informe de bloqueos de Origin o la Herramienta de informe de errores de Origin con privilegios administrativos.
Mitigaciones
Las mitigaciones describen factores que limitan la probabilidad de que un atacante saque partido de la vulnerabilidad y el impacto que esto pueda tener.
- Para realizar un ataque correcto, el atacante debe tener una cuenta válida en el equipo local con el Cliente de Origin instalado.
- En los casos que se elevan a administrador, el atacante necesitaría convencer a un usuario administrativo para que ejecute una aplicación de Origin con privilegios elevados. El usuario administrativo debería aprobar una petición del control de Cuentas de usuario para hacerlo.
Solución
Las soluciones son pasos que los clientes de EA pueden tomar para reducir la posibilidad de que un atacante aproveche la vulnerabilidad si no pueden o eligen no instalar la actualización.
- Para limitar temporalmente la posibilidad de que usuarios sin privilegios ejecuten la vulnerabilidad, el administrador del sistema puede decidir eliminar los derechos de inicio de sesión local o desactivar las cuentas que no sean de administrador.
Resolución
Para hacer frente a la vulnerabilidad, recomendamos a los jugadores con derechos de administrador que instalen la última versión del Cliente de Origin, la 10.5.87.
En el siguiente inicio de sesión del jugador, este deberá actualizar antes de introducir sus credenciales. Si ya ha iniciado sesión, deberá reiniciar Origin para obtener la actualización.
Preguntas frecuentes
¿Cómo se determina la gravedad de los problemas?
La gravedad de los problemas se basa en una escala de 4 puntos que va de Crítico a Bajo. En el transcurso de la investigación, los ingenieros de seguridad determinan la facilidad de explotación y la forma en la que un atacante podría explotar la vulnerabilidad. Normalmente, cuantas menos barreras existan para la explotación en combinación con un mayor Impacto en la seguridad, más elevada será la designación de la Gravedad del problema. Aquí encontrarás más información sobre cómo clasificamos la gravedad y el impacto en la seguridad.
¿Qué causa la vulnerabilidad?
La vulnerabilidad deriva de la forma en la que Origin crea una instancia de aplicaciones de Qt junto con la forma en la que Qt se puede configurar para cargar complementos. Esto permite que un usuario local manipule las ubicaciones desde las que Origin puede cargar los complementos de Qt Un atacante podría proporcionar un complemento de Qt personalizado, que se ejecutaría en el contexto del administrador o sistema.
¿Qué es Qt?
Qt es un kit de herramientas de widgets gratuito y de código abierto para crear interfaces gráficas de usuario, así como aplicaciones multiplataforma que funcionan en distintas plataformas de software y hardware.
¿Cómo sé si soy vulnerable?
Si la versión del Cliente de Origin 10.5.86 o anterior está instalada en el sistema, tu equipo es vulnerable a este problema.
¿Cómo resuelve la actualización la vulnerabilidad?
La actualización restringe la carga dinámica de los complementos de Qt de Origin a directorios predefinidos específicos, que solo se pueden editar mediante una cuenta de administrador.
¿Por qué el modo de acceso restringido no impide esta vulnerabilidad?
Cuando un usuario activa el modo de acceso restringido, restringe el acceso no administrativo a los directorios y archivos de Origin. La RAM no limita el acceso a las ubicaciones que utilizan componentes de terceros, ya que se podrían estropear otras aplicaciones del sistema del jugador. Esto significa que un atacante puede editar o crear un nuevo directorio de complementos de Qt, aunque la RAM esté activada.
¿Se ha utilizado esta vulnerabilidad contra los clientes de EA?
No. En el momento de la publicación de este aviso, no somos conscientes de ningún ataque contra los jugadores de EA que haya aprovechado esta vulnerabilidad.
Agradecimientos
EA agradece a los siguientes investigadores de seguridad por descubrir y comunicarnos este problema según las prácticas de Divulgación coordinada de vulnerabilidades:
Fecha de publicación: 29 de octubre de 2020
Versión: 1.0
