Уязвимость в клиенте EA Origin допускала удаленное выполнение произвольного кода - «Новости»

Xakep #240. Ghidra

• Содержание выпуска


• Подписка на «Хакер»

Журналисты TechCrunch сообщили, что эксперты Underdog Security нашли опасную проблему в клиенте Origin для Windows (macOS-версия клиента проблеме не подвержена). Дело в том, что для удобства миллионов игроков Origin поддерживает URL, начинающиеся с «origin://». Такие ссылки позволяют, например, быстро открыть приложение и загрузить игру, перейдя по простой ссылке с сайта.

Эксперты Underdog Security обнаружили, что используя  баг, злоумышленники могли сделать ссылки origin:// вредоносными, что позволяло атакующему запустить любое приложение с правами текущего пользователя. На этой анимации показана работа proof-of-concept эксплоита исследователей: после нажатия на ссылку на уязвимой машине запускается калькулятор.

Специалисты объясняют, что с тем же успехом потенциальные атакующие могли передавать уязвимой машине и PowerShell-команды, таким образом загружая в систему дополнительную малварь и устанавливая ее.

Вредоносная ссылка origin:// могла быть отправлена пользователю в письме или опубликована на веб-странице злоумышленников. А в сочетании с XSS-уязвимостью эксплоит и вовсе мог срабатывать автоматически, без участия жертвы.

Кроме того, баг позволял похитить токеты от учетных записей пользователей с помощью всего одной строки кода. В итоге злоумышленники получали доступ к аккаунту жертвы без пароля.

В настоящее время разработчики EA уже устранили опасную проблему, обновление для уязвимости вышло в минувший понедельник, 15 апреля 2019 года.