Por Adrian Stone, director sénior de Seguridad de Productos de EA

10 de diciembre de 2019

Hoy se lanzó una versión actualizada del cliente de Origin para solucionar una vulnerabilidad de seguridad previamente descubierta.  En circunstancias específicas, el problema podría haber permitido a un usuario válido con permisos limitados obtener acceso de nivel privilegiado en los equipos que tienen Origin instalado.

La actualización ya está disponible en el cliente de Origin y también se puede descargar directamente aquí.  A lo largo de nuestra investigación y desarrollo de la actualización, no vimos ninguna evidencia de que se haya usado la vulnerabilidad.

Esto se nos informó originalmente a través de nuestro Programa de Informe de Vulnerabilidades para la Seguridad de Productos. Queremos agradecerles a Vasily Kravetz, de AMonitoring, y Matt Nelson por trabajar con nosotros en la investigación y el desarrollo de la solución de acuerdo con las prácticas de Divulgación coordinada de vulnerabilidades.

Publicamos un Aviso de seguridad con detalles adicionales sobre la vulnerabilidad y un artículo de ayuda que describe la actualización con mayor detalle.

Este es un problema muy específico y que hemos visto que afecta a otros sectores de la industria de los videojuegos. Por lo tanto, pensamos que valía la pena brindar información sobre el contexto de su surgimiento.

Como muchos de nuestros jugadores de PC usan PC gamers y laptops de alta gama, el cliente de Origin se diseñó para asumir que todos los usuarios pertenecían a este sector y querían tener el control administrativo total de su sistema todo el tiempo.  Sin embargo, el estándar de la industria comenzó a cambiar. Más personas, incluidos algunos jugadores, usan su computadora como un usuario estándar "limitado".  Y unos pocos crean cuentas para que otros usuarios limitados compartan un sistema con más de una persona. Esta práctica, llamada "mínimo privilegio" en los círculos de seguridad, ayuda a limitar el impacto en la seguridad de los potenciales problemas relacionados. Los proveedores de sistemas operativos empezaron a reconocer esta transición recientemente e implementaron cambios en sus sistemas operativos para adaptarse al nuevo entorno.

Si un atacante intentara explotar esta vulnerabilidad, tendría que iniciar sesión en la computadora con una cuenta de usuario no administrador válida. Luego, tendría que instalar un programa especialmente diseñado o ejecutar código que modifique una parte del software para obtener un nivel de acceso elevado.

La gran mayoría de los usuarios de Origin actuales ya tienen acceso de nivel administrador, y sus cuentas son únicas por máquina (el número de usuarios sin acceso de nivel administrador es inferior al 5% de nuestra base de usuario de Origin total). Esto hace que usar la vulnerabilidad sea improbable para la mayoría de los usuarios, ya que no resultaría en ningún otro acceso o privilegios.

Aunque el problema solo se les habría presentado a un pequeño número de jugadores con el cliente de Origin instalado, la seguridad de todos los usuarios es muy importante para nosotros, así que nos complace haber resuelto este problema con la actualización de hoy, que introduce el Modo de acceso restringido. También nos comprometemos a mejorar en versiones futuras nuestro enfoque en los principios de mínimo privilegio para Origin y el Modo de acceso restringido en función de las estadísticas que obtuvimos. Las interacciones positivas como esta entre la comunidad de investigación de seguridad y los publicadores de videojuegos mejoran la seguridad para todos.