Vulnerabilità nel client Origin, EA rilascia fix

I ricercatori di Underdog Security hanno scovato una grave vulnerabilità presente nel client Origin destinato ai computer con sistema operativo Windows. Per chi non ne fosse a conoscenza, si tratta del software attraverso il quale i giocatori si connettono alla piattaforma di Electronic Arts per acquistare, scaricare e lanciare i giochi presenti nel catalogo del publisher.

Origin: vulnerabilità per il client Windows

Il problema è da imputare all’associazione tra l’applicativo e gli URL che iniziano con “origin://”, impiegati da EA per lanciare in modo rapido il client direttamente dall’interno del browser, durante le sessioni di navigazione. Sfruttando questa dinamica, attraverso un link realizzato ad hoc inserito in una pagina Web oppure in un messaggio email, è stato possibile per un tempo non meglio precisato forzare sul PC dell’utente l’apertura non solo di Origin, ma di qualsiasi altro programma installato. La dimostrazione nella GIF allegata di seguito, con un click che dall’interno del browser apre la Calcolatrice di Windows anziché il software corretto.

Ancor più grave, attraverso un metodo che per ovvie ragioni i ricercatori non hanno reso noto nei dettagli, un malintenzionato è stato in grado di eseguire qualsiasi comando da remoto, mediante la PowerShell del sistema operativo così come di sottrarre i token di autenticazione lanciando una singola riga di codice, potendo così entrare nell’account senza nemmeno la necessità di conoscerne la password. Esposti decine di milioni di utenti.

Electronic Arts ha rilasciato il fix

Il team di Underdog Security ha avvisato Electronic Arts della vulnerabilità e la software house è intervenuta con il rilascio di un fix distribuito a partire dai giorni scorsi mediante un aggiornamento per la versione Windows di Origin. Il consiglio, per chi ancora non l’ha fatto, è dunque quello di procedere al più presto al download e all’installazione dell’update. Sottolineiamo infine come la release del programma per computer macOS non abbia mai sofferto del problema.