EA behebt Sicherheitslücke in Origin Spielplattform

Der Spielplattform Origin von Electronic Arts (EA) ist wohl ein Fehler beim Wechsel eines in der Cloud angemieteten Hosts. Dies hätte sich durch zur Übernahme von Spieler-Accounts ausnutzen lassen. Der Hersteller hat diese Sicherheitslücke jetzt geschlossen.

Sicherheitsforscher von Check Point und CyberInt sind auf diese Schwachstelle gestoßen, die Firmen immer wieder passiert. Offenbar hat EA vergessen, eine Subdomain auf einem aufgegebenen Host zu löschen bzw. aus den DNS-Records (A oder CNAME) auszutragen. So zeigte die Subdomain auf die Microsofts Azure Cloud, wo jeder den aufgegebenen Host frei hätte registrieren können.

Im Allgemeinen ist jeder Dienst, der von einem Cloud-basierten Unternehmen wie EA Games angeboten wird, unter einer eindeutigen Subdomain-Adresse registriert, z.B. eaplayinvite.ea.com. Dazu gibt es einen DNS-Verweis (A- oder CNAME-Eintrag) auf einen bestimmten Host bei einem Cloud-Anbieter (z.B. ea-invite-reg.azurewebsites.net), der den gewünschten Dienst im Hintergrund ausführt. Im aktuellen Fall war es ein Web Application Server, wie Bleeping Computer hier berichtet.

(Zum Vergrößern klicken)

Die Sicherheitsforscher konnten "ea-invite-reg.azurewebsites.net" als Namen für ihren eigenen Web-Applikationsdienst auf Azure registrieren. Da der CNAME-Eintrag noch aktiv war, erhielten die Forscher alle Anfragen von EA-Nutzern über "eaplayinvite.ea.com".

Die Entführung der Subdomain auf einen eigenen Web-Applikationsdienst reichte jedoch nicht aus, um den Account Takeover Angriff durchzuführen.  in Blick auf die Implementierung von EA für den Single Sign-On (SSO)-Mechanismus, der für die Verwaltung der Authentifizierung über die Online-Services von EA zuständig ist, zeigte den Forschern einen funktionierenden Weg.

"Als Teil eines erfolgreichen Authentifizierungsprozesses mit EA Global Services über answers.ea.com wird eine oAauth HTTP-Anfrage an accounts.ea.com gesendet, um einen neuen Benutzer-SSO-Token zu erhalten . Dann sollte die Anwendung den Authentifizierungsprozess über signin.ea.com an den endgültigen EA-Dienst answers.ea.com weiterleiten, um den Benutzer zu identifizieren", erläutert Check Point in einer technischen Analyse des Angriffs.

Durch die Änderung des Parameters "returnURI" im HTTP-Request an die entführte Subdomäne konnte die EA-Service-Adresse ermittelt werden, für die das SSO-Token generiert wurde. Die Manipulation der Anfragen, um das Token an die entführte Domäne zu senden, funktionierte jedoch nicht, da EA einige Sicherheitsimplementierungen vorgenommen hatte.

Einer von ihnen war es, den HTTP-Referer-Header zu überprüfen, ob die Anfrage aus einer vertrauenswürdigen Origin-Domäne stammt. Diese Validierung lässt sich umgehen, indem ein iFrame mit einer vertrauenswürdigen Domäne eingebettet wird, um die Authentifizierungsanforderung zu starten. Die Sicherheitsforscher wandten einige, bei Bleeping Computer beschriebene Tricks an und waren am Ende des Tages in der Lage Konten der Benutzer zu übernehmen.

(Quelle: YouTube)

Das obige Video zeigt das Proof of Concept. EA hat inzwischen die Schwachstelle durch Löschen der DNS-Verweise beseitigt.