Originクライアントでのクロスサイトスクリプティングの脆弱性
EASEC-2020-003
深刻度: 重要
CVSSスコア: 8.2
影響: 改ざん
状態: 修正済
影響を受けるソフトウェア: Origin Mac版・PC版 10.5.86（またはそれ以前のバージョン）
CVE ID: CVE-2020-15914
説明
クロスサイトスクリプティング（XSS）の脆弱性がOriginクライアントで発見されました。これはリモート環境の攻撃者が ターゲットユーザーのOriginクライアント内で、任意のJavaScriptを実行できるものです。攻撃者はこの脆弱性を利用して、ターゲットユーザーのOriginアカウントに関連する機密データにアクセスすることが可能になります。またOriginのテキストチャットウィンドウの操作・監視を実行することもできます。
攻撃シナリオ
脆弱性を不正利用するために、攻撃者は有効なOriginアカウントを使ってOriginクライアントにログインします。その後Originのテキストチャット機能を使用して、不正なテキストチャットメッセージを脆弱性の影響を受けるシステムに送信します。不正なメッセージにはOriginクライアント内で実行可能なJavaScriptのデータが含まれており、次回起動時に実行されます。
- メッセージの送信完了時にOriginクライアントが実行されていない場合は、ユーザーが次回Originクライアントを起動した際にデータが実行されます。
- メッセージの送信完了時にユーザーがOriginクライアントを実行している場合も、不正データはすぐには実行されません。同様に攻撃者はユーザーがOriginを再起動するのを待ちます。Originクライアントの再起動を促すような行動を取る場合もあります。
軽減策
軽減策を実行すると、攻撃側がこの脆弱性を利用できる可能性や影響を制限することができます。
- 攻撃者が脆弱性の影響を受けるシステムに送信するデータは、ユーザーのシステム上でOriginが実行されるときにのみ実行されます。Originがすでにターゲットシステム上で実行中の場合は、ターゲットに対してOriginクライアントの再起動を促すか、またはユーザー自らがOriginクライアントを再起動するのを待つ必要があります。
- 攻撃者は特定のユーザーに対してテキストチャットメッセージを送ることしかできず、その対象は攻撃者とフレンドである必要があります。フレンドではない不特定のOriginユーザーに対して攻撃を実行する場合、攻撃者はまずOrigin上でフレンドリクエストを承諾してもらう必要があります。
回避策
回避策は、EAのお客様がアップデートをインストールできないか、インストールしない場合に、攻撃者がこの脆弱性を利用できる可能性を減らすための手順です。
- この脆弱性に対する回避策はありません。脆弱性に対応するには、本勧告内の「解決策」セクションの手順に従ってください。
解決策
脆弱性の対応として、管理者権限を持つユーザーが最新バージョンのOriginクライアント（10.5.87）をインストールすることを推奨します。
次回ログイン時は、ログイン情報を入力する前にアップデートしてください。すでにログイン状態にある場合は、アップデートを実行するためにOriginを再起動します。
よくある質問
問題の深刻度はどのように決まりますか？
深刻度は、「クリティカル」から「低」までの4段階評価に基づきます。調査の際、EAのセキュリティエンジニアは全体的な悪用の容易さと、攻撃者がこの脆弱性を悪用するために求められる方法を特定します。通常は大悪用に至るまでの障壁が少なく、セキュリティにより強い影響を与えられる場合に、問題の深刻度が高まります。セキュリティへの影響と深刻度の分類方法に付いては、こちらで詳細をご覧ください。
脆弱性の原因を教えてください。
本脆弱性は、Originクライアントのウェブブラウザ上で実行するテキストチャットメッセージの処理プロセスを利用しています。これを悪用することで攻撃者は任意のJavaScriptコードを送信することが可能になります。送信されたデータはターゲットユーザーのOriginクライアント上で、www.origin.comドメインのものとして実行されます。
この脆弱性によってOriginアカウントにアクセスされたり、アカウントが盗まれる可能性はありますか？
本脆弱性によってOriginアカウントにアクセスされたり、アカウントが盗まれる可能性はありません。またOriginクライアントの認証済みセッションにもアクセスできません。
この脆弱性を利用してアクセスできる機密データにはどんなものがありますか？
チャットメッセージの内容やフレンドリスト、実績、所有ゲーム、ウィッシュリスト内のゲームにこの脆弱性を利用してアクセスできます。
脆弱性があるかどうかを判定する方法を教えてください。
バージョン10.5.86以前のOriginクライアントをインストールしている場合、脆弱性が存在します。
アップデートを行うと、脆弱性はどのように解決されますか？
アップデートによってクライアントサイドとサーバーサイドでコンテンツのサニタイズが実行されます。またテキストチャットメッセージで送信・受信した内容についても妥当性確認が行われます。
この脆弱性はEAの顧客に対して使用されていますか？
いいえ。本勧告を公開した時点では、この脆弱性を利用したEAプレイヤーに対する攻撃は確認されていません。
謝辞
脆弱性の公開協力の慣例に準じて問題を発見し報告された以下のセキュリティ調査者に、感謝申し上げます。
公開日: 2020年10月29日
バージョン: 1.0
