Уязвимость в Carpenter's Blocks

[TheAndrey 16345]

Менее суток назад была опубликована информация о наличии уязвимости с моде Carpenter's Blocks. В целом, это недоработка, статус уязвимости она получила из-за возможности обходить плагины привата. Будь это обычный ("ванильный") сервер, недоработка не имела бы такой существенной значимости.

Что это?
Снова "пакет хак". В моде присутствует специальный пакет, который позволяет активировать блоки на удалённом сервере. Автору пришлось пойти на такой хак из-за технических ограничений игры: с нажатым Shift, ПКМ на блоках не срабатывает.

Что случилось?
У серверного обработчика PacketActivateBlock отсутствует проверка входных данных, даже нет ограничения на возможность использования только на блоках из мода. Обработчик вызывает у выбранного блока onBlockActivated(), где обычно располагается код открытия интерфейса инвентаря блока. Прямой вызов этого метода позволяет миновать стандартный обработчик пакетов и ItemInWorldManager, откуда собственно информация о действия передаётся плагинам.

Что это позволяет делать?
Это позволяет открывать любые сундуки из модов, брать предметы с пьедесталов, в общем всё, что блок позволяет делать нажатием ПКМ. С "ванильными" блоками это не работает - они используют другие пакеты. Можно обходить любые плагины (в основном это приват и запреты), использующие PlayerInteractEvent. Демонстрация работы хака представлена на видео.

Исправление уже установлено на все серверы. Добавлено ограничения использования пакета только блоками мода и вызов дополнительного PlayerInteractEvent для возможности контроля действия плагинами.

За нахождение бага выражаем благодарность gamerforEA.

[TALIB2007 2]

Браво!

[Гость NetFlix]

"Менее суток назад была опубликована информация о наличии уязвимости с моде Carpenter's Blocks".
Вообще то у gamerforEA фикс опубликован почти год назад =\

 

[TheAndrey 16345]

Нет какого-либо канала, для своевременного получения уведомлений об изменениях. Поэтому недоработка мода оставалась незамеченной до недавнего времени, пока о ней не вспомнили снова (строчка ниже). Тем не менее, уязвимость остаётся актуальной - автор мода о ней до сих пор не знает.

Самое главное, это то что исправили. Лучше поздно, чем никогда.

[MrZarp 6]

А в 2013 году можно было вообще  блоки чужого привата по своему красить)))

[TheAndrey 16345]

@MrZarp это обычная шалость была. Под конец года плагин RedGuard появился, решивший эту проблему. А нынче используются фиксы модов.