Vulnerabilidad de secuencia de comandos en sitios cruzados en el Cliente de Origin
EASEC-2020-003
Gravedad: importante
Puntuación de CVSS: 8,2
Impacto: manipulación
Estado: resuelta
Software afectado: Origin versión 10.5.86 (o anterior) para Mac y PC
ID de CVE: CVE-2020-15914
Descripción
Existe una vulnerabilidad de secuencia de comandos en sitios cruzados (XSS) en el Cliente de Origin que podría permitir a un atacante remoto ejecutar JavaScript arbitrario en el Cliente de Origin del usuario objetivo. Un atacante podría utilizar esta vulnerabilidad para acceder a datos confidenciales relacionados con la Cuenta Origin del usuario objetivo o para controlar o supervisar la ventana del chat de texto de Origin.
Situación para el ataque
Para aprovecharse de la vulnerabilidad, el atacante debe iniciar sesión en el Cliente de Origin con una Cuenta Origin válida y utilizar la funcionalidad de chat de texto de Origin para enviar un mensaje de chat de texto personalizado al sistema afectado. El mensaje personalizado contiene una carga de JavaScript que se ejecutará en el Cliente de Origin cuando este se inicie.
- Si el mensaje se envía y el sistema no está ejecutando el Cliente de Origin en ese momento, la carga se ejecutará cuando el usuario vuelva a iniciar el Cliente de Origin.
- Si el usuario ya está ejecutando el Cliente de Origin cuando se envía el mensaje, la carga no se ejecutará inmediatamente. El atacante debe esperar a que el usuario vuelva a iniciar el Cliente de Origin o convencer al usuario para que reinicie el Cliente de Origin.
Mitigaciones
Las mitigaciones describen factores que limitan la probabilidad de que un atacante saque partido de la vulnerabilidad y el impacto que esto pueda tener.
- La carga que el atacante envíe al sistema afectado solo se ejecutará cuando Origin se inicie en el sistema del usuario objetivo. Si Origin ya se está ejecutando en el sistema objetivo, el atacante debe convencer al usuario objetivo para que reinicie el Cliente de Origin o esperar a que el usuario vuelva a iniciar el Cliente de Origin.
- Un atacante solo puede enviar mensajes de chat de texto a un usuario concreto si el usuario está en la lista de amigos del atacante. Para atacar a un usuario de Origin arbitrario que no esté en la lista de amigos, el atacante deberá convencer primero al usuario de que acepte una solicitud de amistad de Origin.
Solución
Las soluciones son pasos que los clientes de EA pueden tomar para reducir la posibilidad de que un atacante aproveche la vulnerabilidad si no pueden o eligen no instalar la actualización.
- No existen soluciones para esta vulnerabilidad. Para hacer frente a la vulnerabilidad, los jugadores deben seguir los pasos indicados en la sección Resolución de este aviso.
Resolución
Para hacer frente a la vulnerabilidad, recomendamos a los jugadores con derechos de administrador que instalen la última versión del Cliente de Origin, la 10.5.87.
En el siguiente inicio de sesión del jugador, este deberá actualizar antes de introducir sus credenciales. Si ya ha iniciado sesión, deberá reiniciar Origin para obtener la actualización.
Preguntas frecuentes
¿Cómo se determina la gravedad de los problemas?
La gravedad de los problemas se basa en una escala de 4 puntos que va de Crítico a Bajo. En el transcurso de la investigación, los ingenieros de seguridad determinan la facilidad de explotación y la forma en la que un atacante podría explotar la vulnerabilidad. Normalmente, cuantas menos barreras existan para la explotación en combinación con un mayor Impacto en la seguridad, más elevada será la designación de la Gravedad del problema. Aquí encontrarás más información sobre cómo clasificamos la gravedad y el impacto en la seguridad.
¿Qué causa la vulnerabilidad?
La vulnerabilidad deriva del método que utiliza el navegador web del Cliente de Origin para procesar mensajes de chat de texto. Esto permite al atacante proporcionar Javascript arbitrario, que se ejecutará en el Cliente de Origin del usuario objetivo con la autoridad del dominio www.origin.com.
¿Esta vulnerabilidad se puede utilizar para acceder a la Cuenta Origin de un jugador o robarla?
La vulnerabilidad no se puede utilizar para acceder a la Cuenta Origin de un jugador o robarla ni para acceder a la sesión autenticada del Cliente de Origin.
¿A qué datos confidenciales permite acceder esta vulnerabilidad?
La vulnerabilidad se puede utilizar para acceder al contenido de los mensajes de chat del jugador, su lista de amigos, logros, lista de juegos y lista de favoritos.
¿Cómo sé si soy vulnerable?
Si la versión del Cliente de Origin 10.5.86 o anterior está instalada en el sistema, tu equipo es vulnerable a este problema.
¿Cómo resuelve la actualización la vulnerabilidad?
La actualización implementa saneamiento del contenido del cliente y el servidor y validación del contenido que se envía y se recibe en mensajes de chat de texto.
¿Se ha utilizado esta vulnerabilidad contra los clientes de EA?
No. En el momento de la publicación de este aviso, no somos conscientes de ningún ataque contra los jugadores de EA que haya aprovechado esta vulnerabilidad.
Agradecimientos
EA agradece a los siguientes investigadores de seguridad por descubrir y comunicarnos este problema según las prácticas de Divulgación coordinada de vulnerabilidades:
Fecha de publicación: 29 de octubre de 2020
Versión: 1.0
