Käyttöoikeuksien laajentamis-haavoittuvuus Origin-asiakasohjelmassa

Vakavuus: Tärkeä

CVSS-luokitus: 8.4

Vaikutus: Käyttöoikeuksien laajentuminen

Tila: Korjattu

Haavoittuvuudelle alttiit ohjelmat: Originin Mac- ja PC-versio 10.5.55.33574 (ja aiemmat versiot)

Kuvaus

Origin-asiakasohjelman PC- ja Mac-versioissa 10.5.55.33574 ja sitä aiemmissa on havaittu kaksi haavoittuvuutta, joiden avulla käyttäjä, jolla ei ole järjestelmänvalvojan oikeuksia, voi laajentaa järjestelmän käyttöoikeuksiaan. Laajennettujen käyttöoikeuksien ansiosta voi hallita järjestelmää ja suorittaa toimintoja, jotka ovat normaalisti mahdollisia vain korkeat käyttöoikeudet omaaville käyttäjille tai järjestelmänvalvojille.

Hyökkäysskenaario

Jotta hyökkääjä voi hyödyntää heikkoutta, hänellä on oltava käyttäjätunnukset, joilla pystyy kirjautumaan sisään tietokoneeseen, johon Origin-asiakasohjelma on asennettu. Kun hyökkääjä on kirjautunut sisään, hänen on asennettava erityinen ohjelma tai suoritettava koodia, joka muokkaa Originin asennuskansioiden sisältöä. Tämän jälkeen hyökkääjän on suljettava Origin-asiakasohjelma ja käynnistettävä se uudelleen.

Lievennykset

Lievennykset ovat tekijöitä, jotka pienentävät hyökkääjän todennäköisyyttä haavoittuvuuden onnistuneeseen hyödyntämiseen tai hyökkäyksen vaikutuksia.

• Onnistunut hyökkäys vaatisi paikallisen koneen tilin käyttäjän ja Origin-asiakasohjelman asennettuna.

Kiertotavat

Kiertotapojen avulla EA-asiakkaat voivat pienentää potentiaalisen hyökkääjän mahdollisuuksia hyödyntää heikkoutta, jos he eivät voi tai halua asentaa päivitystä.

• Jotta luvattomien käyttäjien mahdollisuuksia haavoittuvuuden hyödyntämiseen saadaan väliaikaisesti pienennettyä, järjestelmänvalvoja voi halutessaan poistaa paikalliset kirjautumisoikeudet tai poistaa muut kuin järjestelmänvalvojan tilit käytöstä.

Ratkaisu

Järjestelmänvalvojan oikeudet omaavien pelaajien kannattaa asentaa Origin-asiakasohjelman uusin versio 10.5.56.33908 (tai uudempi).

Origin-asiakasohjelman päivitetyn version asentamisen jälkeen järjestelmänvalvojan on otettava Origin-asiakasohjelman Rajoitetun käytön tila käyttöön. Lue lisätietoja Rajoitetun käytön tilasta täältä.

Usein kysyttyä

Miten uhan vakavuus määritetään?
Uhan vakavuuden määrittämiseen käytetään nelitasoista luokitusasteikkoa. Turvallisuusinsinöörit määrittävät tutkimuksemme yhteydessä haavoittuvuuden hyödyntämisen vaikeuden ja sen, miten hyökkääjä pystyisi hyödyntämään heikkoutta. Yleensä mitä vähemmän esteitä haavoittuvuuden hyödyntämiseen on olemassa ja mitä suurempi siitä seuraava tietoturvavaikutus on, sitä korkeampi vakavuusluokitus uhalle määritetään.

Mitä käyttöoikeuksien laajentuminen tarkoittaa?
Käyttöoikeuksien laajentuminen on eräänlainen STRIDE-tietoturvamallin mukainen haavoittuvuusluokitus, joka tarkoittaa sovelluksen tai käyttäjän tavallista laajempia käyttöoikeuksia. Sen tuloksena sovellus tai käyttäjä saa laajemmat oikeudet kuin sovelluksen kehittäjä tai järjestelmänvalvoja on tarkoittanut, minkä johdosta sovellus tai käyttäjä voi tehdä luvattomia toimia, esimerkiksi muuttaa käyttöjärjestelmän määrityksiä, muuttaa käyttöoikeuksia tai käyttää käyttöjärjestelmän tietoja.

Mikä haavoittuvuuden aiheuttaa?
Haavoittuvuuden aiheuttavat järjestelmätiedostojen liian sallivat käyttöoikeusluettelot, joita Origin-asiakasohjelma hyödyntää asennuskansiossa.

Mistä tiedän, onko järjestelmäni haavoittuvainen?
Jos järjestelmääsi on asennettu Origin-asiakasohjelman versio 10.5.55.33574 tai aiempi, se on altis tälle uhalle.

Miten päivitys korjaa ongelman?
Päivitys korjaa haavoittuvuuden antamalla järjestelmänvalvojille mahdollisuuden rajoittaa muiden kuin järjestelmänvalvojien käyttöoikeuksia sekä oikeuksia tehdä muutoksia. Lue lisätietoja päivityksestä seuraavasta EA-tukiartikkelista.

Miksi Rajoitetun käytön tila ole oletusarvoisesti käytössä?
Jos pääsyä Origin-palveluiden käyttämiin järjestelmätiedostoihin Origin-asiakasohjelman nykyisellä arkkitehtuurilla rajoitetaan, rajoitetaan samalla myös tiettyjen ominaisuuksien käyttöä muilta kuin järjestelmänvalvojilta. Olemme päättäneet antaa järjestelmänvalvojien itse valita tasapaino näiden ominaisuuksien rajoittamisen ja haavoittuvuuden todennäköisyyden välillä. 

Onko haavoittuvuutta käytetty EA:n asiakkaita vastaan?
Ei. Tämän tiedotteen julkaisemishetkellä tiedossa ei ole EA-pelaajiin kohdistuneita hyökkäyksiä, joissa tätä haavoittuvuutta olisi hyödynnetty.

Kiitokset

EA kiittää seuraavia tietoturvatutkijoita haavoittuvuuksien löytämisestä ja ilmoittamisesta haavoittuvuuskoordinointikäytäntöjen mukaisesti:

• Vasily Kravetz AMonitoringilta haavoittuvuuksien CVE-2019-19247 ja CVE-2019-19248 ilmoittamiseta
• Matt Nelson haavoittuvuuden CVE-2019-19248 ilmoittamisesta.

Julkaistu: 12.10.2019

Versio: 1.0