Samarbete med externa säkerhetsgranskare
Origins säkerhetsuppdatering
Av Adrian Stone, Sr. Director, EA Product Security
Den 10 december 2019
Idag släpptes en uppdaterad version av Origin-klienten för att ta itu med en upptäckt säkerhetssårbarhet. Under vissa omständigheter kunde problemet ha tillåtit en behörig användare med begränsad behörighet att få tillgång till privilegierad åtkomst på datorer med Origin installerat.
Uppdateringen finns redan i Origin-klienten och kan även laddas ned direkt här. Under utredningen och utvecklingen av uppdateringen kunde vi inte se något bevis på att sårbarheten har utnyttjats.
Det här rapporterades till oss via vårt rapporteringsprogram för produktsårbarhet. Vi vill tacka både Vasilij Kravetz på AMonitoring och Matt Nelson för deras nära samarbete med oss under utredningen och utvecklingen av en lösning på problemet, i enlighet med ett samordnat sårbarhetsavslöjande.
Vi har publicerat ett säkerhetsmeddelande med mer information om sårbarheten och en hjälpartikel som beskriver uppdateringen mer ingående.
Det här är ett väldigt specifikt problem och något som vi har sett påverka andra delar av spelbranschen. Som sådant tyckte vi att det skulle vara värt att dela med oss av lite mer bakgrund till hur det blev så här.
Många av våra PC-spelare på Origin bygger egna speldatorer och använder avancerade bärbara speldatorer, så Origin-klienten har byggts på ett sätt som gjort att alla användare kan köra programmet som privilegierade användare. Alla användare har velat ha fullständig kontroll över sitt system. Sedan dess har branschstandarden börjat att förändras. Fler personer, inklusive vissa spelare, använder sin dator som vanlig, begränsad standardanvändare. Och ett fåtal skapar konton för andra begränsade användare där fler än en person delar system. Detta kallas "minsta privilegium" i säkerhetskretsar och hjälper till att begränsa eventuella säkerhetsproblem. Leverantörer av operativsystem har nyligen börjat erkänna den här förändringen och har gjort ändringar i sitt operativsystem för att ta hänsyn till det föränderliga landskapet.
Om angripare skulle försöka utnyttja det här säkerhetsproblemet hade de varit tvungna att logga in på datorn med ett giltigt användarkonto som inte är administratör. De måste sedan installera ett särskilt utformat program eller exekvera kod som ändrar en del av programvaran för att få högre åtkomstnivå.
De allra flesta av våra befintliga Origin-användare har redan åtkomst på administratörsnivå och är det enda användarkontot på enheten (antalet användare utan åtkomst på administratörsnivå är mindre än 5% av vår totala Origin-användarbas). Det gör det osannolikt att de flesta användare råkar ut för detta problem eftersom det inte leder till någon ytterligare tillgång eller privilegier.
Trots att problemet bara hade kunnat finnas hos ett fåtal spelare med Origin-klienten installerad så är säkerheten för alla användare väldigt viktig för oss. Därför är vi glada över att ha tagit itu med det här problemet med dagens uppdatering genom införandet av Begränsat åtkomstläge. Vi är också fast beslutna att förbättra vårt sätt att hantera principer som har med minst privilegium att göra för Origin, och Begränsat åtkomstläge i framtida versioner, baserat på de insikter vi har fått. Positiva interaktioner som detta mellan säkerhetsgranskningscommunityn och spelutgivare höjer ribban för säkerhet för alla.
