심각도: 중요
CVSS 점수: 8.2
영향: 부당 변경
상태: 오류 수정 완료
관련 소프트웨어: Mac/PC용 Origin의 10.5.86 버전(또는 이전)
CVE ID: CVE-2020-15914
설명
Origin 클라이언트에는 원격 공격자가 대상 사용자의 Origin 클라이언트에서 임의의 Javascript를 실행할 수 있는 XSS(크로스 사이트 스크립트 취약점)이 존재합니다. 공격자는 해당 취약점을 이용하여 대상 사용자의 Origin 계정과 관련된 민감한 데이터에 액세스하거나 Origin 텍스트 채팅 창을 제어하거나 모니터링할 수 있게 됩니다.
공격 시나리오
취약점을 성공적으로 악용하려면 공격자는 유효한 Origin 계정을 사용하여 Origin 클라이언트에 로그인하고 Origin의 텍스트 채팅 기능을 사용하여 영향을 받는 시스템에 특수하게 조작된 텍스트 채팅 메시지를 전송해야 합니다. 조작된 메시지는 클라이언트가 다음에 다시 사용 시, Origin 클라이언트에서 실행되는 Javascript 페이로드를 포함하고 있습니다.
완화
완화란 해커가 취약점을 성공적으로 악용할 가능성 또는 악용 후 받을 수 있는 영향을 제한해줄 요인입니다.
해결 방안
해결 방안은 EA 고객이 업데이트를 설치할 수 없거나 설치하지 않을 시, 취약점 악용 가능성을 줄이기 위해 취할 수 있는 조치입니다.
해결책
관리자 권한으로 취약점을 해결하려면 최신 버전의 Origin 클라이언트의 10.5.87 버전을 설치하는 것을 권장합니다.
다음 플레이어 로그인 시, 플레이어는 자격 증명을 입력하기 전에 업데이트를 진행해야 합니다. 이미 로그인 되어 있다면, Origin을 재시작하여 업데이트를 받아야 합니다.
자주 묻는 질문
문제 심각도는 어떻게 결정됩니까?
문제 심각도에는 '위급함'부터 '낮음'까지, 총 4개의 심각도가 있습니다. 조사의 일환으로 보안 엔지니어가 전반적인 악용의 용이성과 해커의 취약점 악용 방법을 밝혀냈습니다. 일반적으로, 보안 악용 후 발생하는 영향이 심각하고 악용을 막는 보호막이 적을수록 문제 심각도가 높은 것으로 나타났습니다. 보안 영향 및 심각도 분류 방법에 대한 자세한 정보는 여기에서 확인할 수 있습니다.
취약점의 원인은 무엇인가요?
취약점은 Origin 클라이언트의 웹 브라우저에서 텍스트 채팅 메시지를 렌더링하는 데 사용되는 방법에 의해 발생합니다. 이를 통해 공격자는 www.origin.com 도메인의 권한으로 대상 사용자의 Origin 클라이언트에서 실행되는 임의의 Javascript를 제공할 수 있게 됩니다.
본 취약점은 플레이어의 Origin 계정을 도용하거나 훔치는 데 이용될 수 있나요?
본 취약점은 플레이어의 Origin 계정을 이용 또는 도용하거나, 인증된 Origin 클라이언트 세션 접속에 이용될 수 없습니다.
본 취약점을 이용하여 어떤 민감한 데이터에 액세스할 수 있나요?
본 취약점은 플레이어의 채팅 메시지, 친구 목록, 업적, 플레이어가 보유한 게임 및 플레이어의 위시리스트 등의 콘텐츠에 액세스하는 데 이용될 수 있습니다.
취약한지 어떻게 알 수 있나요?
Origin 클라이언트의 10.5.86 버전 또는 이전 버전이 시스템에 설치된 경우, 취약할 수 있습니다.
업데이트가 취약점을 어떻게 해결하나요?
업데이트는 문자 채팅 메시지에서 주고받은 콘텐츠에 대한 클라이언트 측 및 서버 측 콘텐츠 검사 및 유효성 검사를 구현합니다.
EA 고객을 상대로 취약점이 사용되었나요?
아니요. 이 권고 사항을 게시할 당시, EA 플레이어를 향해 해당 취약점을 악용하는 공격에 대해서는 알 수 없었습니다.
감사의 글
EA는 취약점 개선 내용 공개 실천의 일환으로 문제점을 신고 해주신 보안 연구원에게 감사드립니다.
공개일: 2020년 10월 29일
버전: 1.0