Vulnerabilità relativa all'elevazione del privilegio nel client Origin
EASEC-2020-002
Gravità: importante
Punteggio CVSS: 7.8
Impatto: elevazione del privilegio
Stato: corretto
Software interessato: versione 10.5.86 (o precedenti) di Origin per Mac e PC
ID CVE: CVE-2020-27708
Descrizione
Nel client Origin è presente una vulnerabilità che potrebbe consentire a un utente non amministratore di elevare il proprio accesso ad amministratore o a un sistema. Quando l'utente ottiene un accesso elevato, potrebbe essere in grado di assumere il controllo del sistema ed eseguire azioni altrimenti riservate agli utenti con privilegi elevati o agli amministratori di sistema.
Scenario d'attacco
Per riuscire a sfruttare la vulnerabilità, è necessario che chi effettua l'attacco disponga delle credenziali dell'utente valide e della possibilità di accedere al computer su cui è installato il client Origin. Dopo essere riuscito a effettuare l'accesso al sistema, è necessario che ci effettua l'attacco crei una cartella specificatamente denominata in una posizione fissa su C: e aggiunga un plugin QT appositamente creato a quella cartella.
Elevazione al sistema
Dopo aver seguito i passaggi descritti sopra, l'hacker può elevarsi ai privilegi di NT AUTHORITYSystem seguendo le seguenti istruzioni:
- Interrompere il "servizio client Origin".
- Riavviare il "servizio client Origin".
Elevarsi ad amministratore
Dopo aver seguito i passaggi descritti sopra, l'hacker deve:
- Attendere che un altro utente con privilegi di amministratore esegua l'Installer del client Origin o il programma di disinstallazione del client Origin e segua il prompt di elevazione UAC; o
- Convincere l'utente amministratore a eseguire il client Origin, il reporter di crash Origin o la segnalazione errori Origin con i privilegi di amministratore.
Mitigazioni
Le mitigazioni descrivono fattori che limitano la probabilità o l'impatto di un hacker che riesce a sfruttare la vulnerabilità.
- Perché un attacco sia efficace, è necessario che l'hacker disponga di un account valido sul computer locale su cui è installato il client Origin.
- Per gli scenari che elevano ad amministratore, l'hacker deve convincere un utente amministratore a eseguire un'applicazione Origin con privilegi elevati. L'utente amministratore dovrà approvare un prompt UAC per farlo.
Soluzioni temporanee
Le soluzioni temporanee consistono in dei passaggi che i clienti EA possono seguire per ridurre le possibilità di un attaccante di sfruttare la vulnerabilità nel caso in cui non possano o scelgano di non installare l'aggiornamento.
- Per limitare temporaneamente la probabilità che la vulnerabilità venga sfruttata da utenti non privilegiati, l'amministratore del sistema può decidere di rimuovere i diritti di accesso locali o disattivare gli account non amministratori.
Risoluzione
Per risolvere la vulnerabilità, ai giocatori con diritti di amministratore si consiglia di installare la versione più recente (10.5.87) del client Origin.
Al successivo accesso del giocatore, sarà necessario un aggiornamento prima di inserire le credenziali. Se è già stato effettuato l'accesso, sarà necessario riavviare Origin per ottenere l'aggiornamento.
Domande frequenti
Come viene determinata la gravità del problema?
La gravità del problema si basa su una scala a 4 livelli che va da critico a basso. Come parte della nostra indagine, gli ingegneri della sicurezza determinano la facilità di sfruttamento complessiva e ciò di cui un attaccante avrebbe bisogno per riuscire a sfruttare la vulnerabilità. In genere, un minor numero di ostacoli allo sfruttamento insieme a un maggiore impatto sulla sicurezza comportano una maggiore gravità del problema. Qui puoi trovare maggiori informazioni su come classifichiamo l'impatto e la gravità per la sicurezza.
Quali sono le cause della vulnerabilità?
La vulnerabilità è causata dal modo in cui Origin crea un'istanza delle applicazioni QT, unitamente al modo in cui Qt può essere configurato per caricare i plugin. In questo modo, un utente locale può manipolare le postazioni dalle quali Origin è in grado di caricare i plugin QT. Un attaccante potrebbe fornire un plugin QT appositamente creato, che verrà eseguito nel contesto di amministratore o sistema.
Cos'è QT?
QT è un toolkit gratuito e opensource per la creazione di interfacce utente grafiche, nonché applicazioni multipiattaforma che funzionano su varie piattaforme software e hardware.
Come faccio a sapere se sono vulnerabile?
Se nel sistema è installata la versione 10.5.86 o precedente del client Origin, esso è vulnerabile a questo problema.
In che modo l'aggiornamento risolve la vulnerabilità?
L'aggiornamento limita il caricamento dinamico dei plugin di Origin QT a cartelle specifiche e predefinite, che possono essere modificate solo da un account amministratore.
Perché la modalità accesso limitato non impedisce questa vulnerabilità?
Quando un utente attiva la modalità accesso limitato, restringe l'accesso non amministratore ai file e alle cartelle di Origin. La RAM non restringe l'accesso alle postazioni usate dai componenti di terze parti, perché così facendo potrebbero bloccare altre applicazioni sul sistema di un giocatore. Questo significa che un hacker può modificare o creare una nuova cartella dei plug-in QT, anche se la RAM è abilitata.
Questa vulnerabilità è stata usata contro i clienti EA?
No. Al momento della pubblicazione di questo avviso non siamo a conoscenza di alcun attacco contro i giocatori EA che sfrutti questa vulnerabilità.
Riconoscimenti
EA ringrazia i seguenti ricercatori che si occupano di sicurezza per la loro scoperta e per avercela segnalata in conformità alle pratiche della Coordinated Vulnerability Disclosure:
Data di pubblicazione: 29 ottobre 2020
Versione: 1.0
