Origin-beveiligings update oktober
Door Adrian Stone, Sr. Director, EA Product Security - 29 oktober 2020
Vandaag hebben we een bijgewerkte versie van de Origin client uitgebracht om twee zeer ernstige beveiligingslekken aan te pakken. Beide kwesties werden vertrouwelijk aan ons gemeld via ons Product Security Vulnerability Submission-programma. Op geen enkel moment zijn er aanwijzigingen geweest dat een van beide kwetsbaarheden gebruikt is tegen onze klanten. Als je al bent ingelogd op de Origin client, heb je de update waarschijnlijk al aangeboden gekregen. Je kunt hem ook hier downloaden. Er zijn twee beveiligingsadviezen gepubliceerd met details over de kwetsbaarheden die door de update zijn verholpen.
Het eerste probleem (EASEC-2020-002) werd ontdekt door Xavier Danest - Decathlon en Tom Wilson van Nettitude. Deze kwetsbaarheid kon een geldige gebruiker met beperkte machtigingen in staat stellen om verhoogde toegang te verkrijgen op computers waarop Origin was geïnstalleerd. Als een aanvaller zou proberen deze kwetsbaarheid uit te buiten, dan zou deze moeten inloggen op de computer met een geldig niet-administrator gebruikersaccount en een administratieve gebruiker moeten overtuigen om een Origin-applicatie te draaien met verhoogde rechten. De administratieve gebruiker zou hiervoor een UAC-prompt moeten goedkeuren.
Met deze release wordt ook een tweede, zeer ernstig probleem verholpen in Origin (EASEC-2020-003), dat ontdekt werd door Ahmed El-Monairy. Het is een cross-site scripting (XSS) kwetsbaarheid die een aanvaller op afstand in staat zou kunnen stellen om willekeurige Javascript uit te voeren tegen de vriendenlijst van de Origin client. Een aanvaller zou deze kwetsbaarheid kunnen gebruiken om toegang te krijgen tot gevoelige gegevens of om het chatscherm van de vriendenlijst te besturen of te bekijken.
We willen de beveiligingsonderzoekerscommunity bedanken voor het inzenden van kwetsbaarheden en hun positieve interacties met ons in onze samenwerking om spelers en de gamecommunity als geheel te beschermen.
