Sicherheitslücke: EA Origin führte Schadcode per Link aus
Eine Sicherheitslücke in der Windowsversion der Spieleplattform EA Origin ermöglichte das Ausführen von Programmen unter Windows – und konnte hierdurch auch Schadcode nachladen und ausführen – und zwar dann, wenn ein Origin-Nutzer bloß auf einen speziellen Link klickte. Entdeckt wurde die Lücke laut dem Onlinemagazin Techcrunch(öffnet im neuen Fenster) durch die Sicherheitsforscher Daley Bee and Dominik Penner von Underdog Security. Electronic Arts (EA) habe die Lücke mittlerweile geschlossen. Die MacOS-Version war nicht betroffen.
"Mit Origin kannst du deine PC-Spiele ganz einfach herunterladen, installieren und spielen,"bewirbt Electronic Arts seine Plattform(öffnet im neuen Fenster). Mehrere Dutzend Millionen Nutzer kann EA im App-Store für Spiele verzeichnen. Um die Spiele einfacher herunterladen oder aufrufen zu können, verwendet Origin ein eigenes URL-Schema: Wird auf eine URL geklickt, die mit origin:// beginnt, wird – sofern vorhanden – ein Spiel von der Plattform gestartet. Die Sicherheitsforscher konnten allerdings nicht nur EA-eigene Software über Origin-Links starten, sondern beispielsweise auch andere unter Windows installierte Software, beispielsweise den Taschenrechner. "Angreifer hätten alles, was sie wollen, ausführen können,"sagte Bee Techcrunch.
Über Origin-Links ließ sich Schadsoftware verteilen
Über die Windows Powershell hätten sich selbst Kommandozeilenbefehle ausführen und damit potenziell Schadsoftware nachladen und ausführen lassen. Einzige Voraussetzung sei ein Klick auf einen Origin-Link beispielsweise in einer E-Mail oder auf einer Webseite gewesen. Alternativ hätte der Link auch mit einer Cross-Site-Scripting-Lücke kombiniert werden können, die automatisch im Browser ausgeführt wird, heißt es in dem Bericht von Techcrunch. Die entsprechenden Programme oder der entsprechende Code wären dann mit Nutzerrechten gestartet worden.
Neben dem Ausführen beliebiger Software sei es über einen präparierten Link zudem möglich gewesen, den Access-Token eines Nutzerkontos zu stehlen. Mit dem Token können Angreifer sich in das Nutzerkonto des Betroffenen einloggen, ohne dessen Passwort zu kennen.
Ein Sprecher von Electronic Arts bestätigte Techcrunch die Sicherheitslücke und betonte, dass die Lücke mit einem Update am 15. April behoben worden sei. Dieses sollten Origin-Nutzer – sofern nicht schon geschehen – umgehend einspielen. Auf eine Anfrage von Golem.de hat EA bisher noch nicht geantwortet.