Podatność w serwerach Minecraft – wpisujesz exploita na chacie i przejmujesz serwer oraz innych graczy [log4j, CVE-2021-44228]

Jest spora szansa, że historia tej podatności w log4j właśnie zaczyna się od exploitów na Minecrafta (i co więcej dotyczy to zarówno serwerów jak i klientów):

Jeśli wierzyć tej relacji – gorzej już być nie mogło:

Ten exploit jest bardzo poważny w Minecraft Java Edition. Każdy może wysłać wiadomość na czacie, która exploituje wszystkich na serwerze i sam serwer, ponieważ każda wiadomość na czacie jest rejestrowana. W ciągu ostatnich kilku godzin wszyscy wpadli w szał starając się znaleźć dobre rozwiązanie chroniące serwery i graczy.

This exploit is quite severe on Minecraft Java Edition. Anyone can send a chat message which exploits everyone on the server and the server itself, because every chat message is logged. It’s been quite a rollercoaster over the past few hours, working out the details of how to protect members of servers, and informing players (many of whom uses modded clients that don’t receive the automatic Mojang patches) of how to protect themselves. 

Łatki są drodze.

Całość to tylko czubek góry lodowej, jak pisaliśmy wcześniej, rozpoczęły się masowe skanowania aplikacji, które mogą wykorzystywać podatną wersję log4j (a zapewne jest tego masa – od sklepów przez portale internetowe aż po systemy finansowe).

~Michał Sajdak