Luka umożliwiająca podniesienie poziomu uprawnień w kliencie Origin

Waga problemu: ważny

Punktacja CVSS: 8,4

Wpływ: podniesienie poziomu uprawnień

Status: naprawiono

Oprogramowanie, którego dotyczy problem: Aplikacja Origin na komputery Mac i PC w wersji 10.5.55.33574 (lub wcześniejszej)

Opis

W usługach Origin Client Service na komputery PC i Mac w wersjach 10.5.55.33574 i wcześniejszych występują dwie luki zabezpieczeń, które mogą umożliwić użytkownikowi niebędącemu administratorem uzyskanie dostępu do systemu. Gdy użytkownik podniesie poziom uprawnień, może przejąć kontrolę nad systemem i wykonywać działania zastrzeżone dla wysoko uprawnionych użytkowników lub administratorów systemów.

Scenariusz ataku

Aby wykorzystać lukę w zabezpieczeniach, osoba atakująca musi dysponować danymi umożliwiającymi zalogowanie się na komputerze z zainstalowaną aplikacją Origin. Po pomyślnym zalogowaniu atakujący musiałby zainstalować specjalnie przygotowany program lub uruchomić kod modyfikujący zawartość katalogów instalacyjnych Origin. Następnie musiałby zamknąć i uruchomić ponownie aplikację Origin.

Ograniczenie zagrożenia

Ograniczenie zagrożenia to czynniki ograniczające prawdopodobieństwo pomyślnego wykorzystania luki lub wpływ atakującego

• Udany atak wymaga aktywnego konta użytkownika na lokalnym komputerze z zainstalowanym klientem Origin.

Rozwiązania

Rozwiązania to kroki, które klienci EA mogą podjąć, by zmniejszyć prawdopodobieństwo wykorzystania luki, jeśli nie chcą lub nie mogą zainstalować aktualizacji.

• Aby tymczasowo ograniczyć prawdopodobieństwo wykorzystania luki przez nieuprawnionych użytkowników, administrator systemu może cofnąć pozwolenie na logowanie lokalne lub wyłączyć konta nieadministratorskie.

Ustawienia rozdzielczości

Aby rozwiązać problem, gracze z uprawnieniami administratora powinni zainstalować najnowszą wersję klienta Origin w wersji 10.5.56.33908 (lub późniejszej).

Po zainstalowaniu zaktualizowanej wersji administrator musi następnie włączyć „Ograniczony tryb użytkownika” w aplikacji Origin. Dodatkowe informacje na temat tego, jak włączyć „Ograniczony tryb użytkownika” można znaleźć tutaj.

Najczęściej zadawane pytania:

Jak jest określana waga problemu?
Waga problemów określana jest na podstawie 4-stopniowej klasyfikacji od krytycznych do małych. W ramach dochodzenia specjaliści ds. bezpieczeństwa określają stopień łatwości wykorzystania luki oraz kroki, które atakujący musiałby podjąć, by tę lukę wykorzystać. Mała liczba przeszkód w wykorzystaniu luki w połączeniu z wyższym wpływem na bezpieczeństwo będzie skutkować wyższym stopniem wagi problemu.

Czym jest podniesienie poziomu uprawnień?
Podniesienie poziomu uprawnień to według modelu bezpieczeństwa STRIDE typ luki, która umożliwia uzyskanie dostępu do zasobów, które normalnie są niedostępne dla aplikacji lub użytkownika. W rezultacie aplikacja lub użytkownik zyskuje więcej uprawnień niż przewidział twórca aplikacji lub administrator systemu, umożliwiając dokonywanie nieuprawnionych działań, jak zmiana konfiguracji systemu operacyjnego, zmiana uprawnień i pozwoleń użytkowników oraz dostęp do danych systemu operacyjnego.

Co powoduje lukę w zabezpieczeniach?
Powodem występowania luki jest zbyt liberalna lista kontroli dostępu do plików systemowych w katalogu instalacyjnym aplikacji Origin.

Skąd mam wiedzieć, czy moja aplikacja jest narażona?
Jeśli posiadasz zainstalowaną aplikację Origin w wersji 10.5.55.33574 lub wcześniejszej, twój system jest narażony na to zagrożenie.

W jaki sposób aktualizacja rozwiązuje lukę w zabezpieczeniach?
Ta aktualizacja eliminuje lukę w zabezpieczeniach poprzez umożliwienie administratorom ograniczenia dostępu i możliwości wprowadzania modyfikacji użytkownikom innym niż użytkownicy administracyjni. Więcej informacji na temat aktualizacji znajdziesz w następującym artykule Pomocy EA.

Dlaczego opcja „Ograniczony tryb użytkownika” nie jest domyślnie włączona?
Przy obecnej architekturze aplikacji Origin ograniczenie dostępu do plików systemowych wykorzystywanych przez usługi Origin, ogranicza również dostęp do niektórych funkcji użytkownikom nieposiadającym uprawnień administratora. Zdecydowaliśmy się pozwolić administratorom systemów na ograniczenie tych funkcji w obliczu możliwego wykorzystania luki zgodnie z ich własnym uznaniem. 

Czy luka została wykorzystana przeciwko klientom EA?
Nie. W chwili publikacji niniejszego poradnika nie odnotowaliśmy żadnych ataków na graczy EA, które wykorzystywałyby tę lukę w zabezpieczeniach.

Podziękowania

EA dziękuje następującym osobom za odkrycie i zgłoszenie luki zgodnie z zasadami programu skoordynowanego ujawniania luk w zabezpieczeniach.

• Vasily Kravetz z AMonitoring za zgłoszenie CVE-2019-19247 oraz CVE-2019-19248
• Matt Nelson za zgłoszenie CVE-2019-19248

Data publikacji: 10 grudnia 2019

Wersja: 1.0