Vulnerabilidade de elevação de privilégio no Cliente Origin
EASEC-2020-002
Gravidade: Importante
Pontuação CVSS: 7,8
Impacto: Elevação de privilégio
Status: Corrigida
Software afetado: Origin para Mac e PC versão 10.5.86 (ou anterior)
ID do CVE: CVE-2020-27708
Descrição
Existe uma vulnerabilidade no Cliente Origin que pode permitir que uma conta não administrativa eleve seus privilégios de acesso para quem Administra ou para o Sistema. Assim que o usuário obtiver acesso elevado, ele pode ser capaz de assumir o controle do sistema e executar ações que eram reservadas a usuários com privilégio alto ou administradores de sistema.
Cenário de ataque
Para fazer uso efetivo da vulnerabilidade, quem invade precisa ter credenciais válidas de quem utiliza e a capacidade de fazer o login no computador com o Cliente Origin instalado. Depois que a pessoa que invade tiver feito login no sistema com sucesso, deve criar um diretório com um nome específico em um local fixo na unidade C: e adicionar um plugin Qt especialmente criado a este diretório.
Elevando para Sistema
Após seguir as etapas acima, quem invade pode elevar os privilégios para NT AUTHORITY System usando as seguintes etapas:
- Parar o "Serviço do Cliente Origin".
- Reiniciar o "Serviço do Cliente Origin".
Elevando para Administrador
Após seguir as etapas acima, quem invade deve:
- aguardar que outra conta com privilégios de quem Administra execute o instalador do Cliente Origin ou o desinstalador do Cliente Origin e siga o prompt de elevação do UAC; ou
- convencer a conta Administrativa a executar o Cliente Origin, o Relatório de Travamento Origin ou o Relatório de Erro Origin com privilégios Administrativos.
Atenuações
As atenuações descrevem fatores que limitam a probabilidade ou impacto de quem invade fazer uso efetivo da vulnerabilidade.
- Um ataque bem-sucedido exige que quem invade tenha uma conta válida na máquina local onde o Cliente Origin está instalado.
- Para cenários que elevam para quem Administra, quem invade precisaria convencer uma conta administrativa a executar um aplicativo Origin com privilégios elevados. A conta administrativa precisaria aprovar um prompt do UAC para fazer isso.
Solução alternativa
As soluções alternativas são medidas que os clientes da EA podem tomar para reduzir o potencial de um invasor fazer uso da vulnerabilidade se não for possível ou se optarem por não instalar a atualização.
- Para limitar temporariamente a probabilidade de que a vulnerabilidade seja executada por contas não privilegiadas, quem administra o sistema pode escolher remover os direitos de login local ou desativar contas que não sejam de alguém que administra.
Resolução
Para abordar a vulnerabilidade, recomendamos às pessoas com direitos de administrar que instalem a versão mais recente do Cliente Origin, 10.5.87.
No próximo login, quem joga terá que fazer a atualização antes de inserir suas credenciais. Se já tiver feito a conexão, será necessário reiniciar o Origin para obter a atualização.
Perguntas frequentes
Como a gravidade do problema é determinada?
A severidade do problema é baseada em uma escala de 4 pontos que varia de crítica a baixa. Como parte da nossa investigação, os engenheiros de segurança determinam a facilidade geral de exploração e como um invasor precisaria explorar a vulnerabilidade com sucesso. Normalmente, quanto menos obstáculos existirem para a exploração, em combinação com um maior impacto de segurança, mais alta será a gravidade do problema. Mais informações sobre como nós classificamos a gravidade e o impacto de segurança podem ser encontradas aqui.
O que causa a vulnerabilidade?
A vulnerabilidade é causada pela forma como o Origin instancia aplicativos Qt, juntamente com o modo como o Qt pode ser configurado para carregar plugins. Isto permite que a conta local manipule os locais de onde o Origin pode carregar os plugins do Qt. A pessoa que invade pode fornecer um plugin QT especialmente criado, que será executado sob o contexto de quem Administra ou do Sistema.
O QUE É O Qt?
O Qt é um conjunto de ferramentas de widget de código aberto e gratuito para criar interfaces gráficas de quem estiver utilizando, além de aplicativos multiplataforma que são executados em várias plataformas de software e hardware.
Como saber se estou vulnerável
Se a versão do Cliente Origin 10.5.86 ou anterior estiver instalada, o sistema estará vulnerável a este problema.
Como a atualização resolve a vulnerabilidade?
A atualização restringe o carregamento dinâmico de plugins do Qt do Origin para diretórios específicos e pré-definidos, que só podem ser editados por uma conta de quem Administra.
Por que o Modo de Acesso Restrito não impede esta vulnerabilidade?
Quando quem utiliza habilita o Modo de Acesso Restrito, restringe o acesso não administrativo aos arquivos e diretórios do Origin. O Modo de Acesso Restrito não limita o acesso a locais usados por componentes de terceiros, pois isto poderia fazer outros aplicativos pararem de funcionar no sistema de quem joga. Isto significa que quem invade pode editar ou criar um novo diretório de plugin Qt, mesmo se o Modo de Acesso Restrito estiver habilitado.
Esta vulnerabilidade foi utilizada contra clientes da EA?
Não. No momento da publicação deste aviso, não estamos cientes de nenhum ataque que faça uso desta vulnerabilidade contra clientes da EA.
Reconhecimento(s)
A EA agradece aos seguintes pesquisadores de segurança por sua descoberta e por relatá-la para nós de acordo com as práticas da Divulgação de Vulnerabilidade Coordenada:
Data de publicação: 29 de outubro de 2020
Versão: 1.0
