Глобальная уязвимость сервера

[Firkys]

спрятано

 

[Shevchik]

Короче мы провели полный аудит форджа, майна, и многих популярных модов и скажу вам одно....
Это ****ец......

 

[Firkys]

Короче мы провели полный аудит форджа, майна, и многих популярных модов и скажу вам одно....
Это ****ец......

В черном списке моды:
БиблиоКрафт
НпсКастом

На вопрос почему? Смотрите их код и может также найдёте :C

 

[DEFKALION]

Так, а кто нибудь знает как это действие производится вообще?

 

[Shevchik]

В черном списке моды:
БиблиоКрафт
НпсКастом

На вопрос почему? Смотрите их код и может также найдёте :C

И это только верхушка айсберга.

 

[Firkys]

Так, а кто нибудь знает как это действие производится вообще?

Вся проблема в том, что при поиске этого косяка, были обнаружены другие и куда более серьёзные, также сейчас не понятны некоторые вещи которые также могут привести к серьёзным последствиям.
Могу сказать что самый критичный баг работает на фордже до 1.6 который позволяет...... ну делать очень плохо серверам. Сама информация будет чуть позднее, чтобы не убить проекты на версии 1.6

 

[DEFKALION]

Вся проблема в том, что при поиске этого косяка, были обнаружены другие и куда более серьёзные, также сейчас не понятны некоторые вещи которые также могут привести к серьёзным последствиям.
Могу сказать что самый критичный баг работает на фордже до 1.6 который позволяет...... ну делать очень плохо серверам. Сама информация будет чуть позднее, чтобы не убить проекты на версии 1.6

А теперь понял..

 

[scrik78]

Вся проблема в том, что при поиске этого косяка, были обнаружены другие и куда более серьёзные, также сейчас не понятны некоторые вещи которые также могут привести к серьёзным последствиям.
Могу сказать что самый критичный баг работает на фордже до 1.6 который позволяет...... ну делать очень плохо серверам. Сама информация будет чуть позднее, чтобы не убить проекты на версии 1.6

Фикс возможен этого критического бага?

 

[yahoo]

Уязвимость позволяет выбросить любое кол-во предметов от любого игрока на сервере. Информации пока мало, но атаке уже подверглись некоторые крупные проекты в том числе и частично мой (наш?)

Самые очевидные варианты в виде дырявих пакетов мы уже проверили, но этого оказалось мало. Требуется помощь большего кол-ва людей, ибо уязвимость глобальная.

Простите за глупый вопрос, а никнэймы игроков, от лица которых осуществлялись вбросы, можете привести?

 

[Kirich]

П@ЗД@Ц...
Жду от вас новостей!

 

[Firkys]

Короче первое.
Тот баг что описан в теме, это дюп с помощью библио крафт который был обнаружен недавно.
Также было найдено что с помощью отправки одного пакета можно получить любой айтем с помощью библиокрафта.
Также было обнаружена дыра которая позволяет спаунить мобов в кастомнпс.

И самое главное, был найден обход online-mod до 1.6.

Если не верите, то давайте айпи и мы идём к вам в гости

Когда будет информация? Фиг знает какую такую инфу в паблик кидать, слишком опасно.

 

[Shevchik]

Собственно по сути баги нашёл я, но большое участие принимали Фиркус и РедЭнерджи.
Фикс обоих багов скоро будет выложен сюда (Их сейчас пишет техномен), а также более подробная инфа по каждому из них.

 

[Bartolomeo Della Rokka]

Барто приносит свои извинения за причиненный вред.

 

[fhntv24]

Fix bibliocraft 1.6.4: https://www.dropbox.com/s/zh2cdk5vknvormx/BiblioPacketeer.class?dl=0
Fix biblicraft 1.7.10: https://www.dropbox.com/s/mjx4mthpbb0x2su/ServerPacketHandler.class?dl=0

 

[niki96]

эта интересная инфа была пофикшена в спигот 1.8 на первый день когда её обнаружили, но моджанги на стоко криворукие что в 1.8.5 забыли выложить фикс и потратили на фикс больше 4 месяцев..

+

 

[Jampire]

Тему закрываю. Все продолжение и подробности по ссылке http://rubukkit.org/threads/new-ujazvimosti-v-jadre-i-modax.104719/#post-1186386