MC百科社群

标题: 【安全通告】远程任意代码执行漏洞 [打印本页]

---

作者: QQ酱218238    时间: 2023-7-30 14:18
标题: 【安全通告】远程任意代码执行漏洞
外网发现了1.7.10和1.12.2版本的流行模组上存在远程代码执行漏洞，该漏洞将允许攻击者执行任意代码（意味着可以做服主能做的任何事情），受影响模组如下（CurseForge正在调查中，列表仍然不完整）：
EnderCore 末影核心（1.9-1.13的mc版本）
LogisticsPipes 物流管道，0.10.0.71版本已修复
BDLib
高级发电机（Advanced Generators）
AE2 Stuff
基因工业（Gendustry）
压力管道（Pressure Pipes）
压缩者（Compacter）的前置模组
Smart Moving 灵活动作
Brazier 生灵火盆
DankNull
Gadomancy 魔像秘经
JourneyMap 旅行地图（仅仅1.16.5-5.7.1受影响，5.7.2已修复）
Astral Sorcery 星辉魔法 (影响版本<=1.9.1)
Advent of Ascension 虚无世界3（仅mc的1.12.2版本）
详细信息还在持续跟进中

---

作者: QQ酱218238    时间: 2023-7-30 14:23
本次漏洞的具体工作原理为不安全的反序列化
可查看https://www.reddit.com/r/Minecra ... 01122_modpacksmods/和
https://blog.mmpa.info/posts/bleeding-pipe/

---

作者: QQ酱218238    时间: 2023-7-30 14:38
关于最新的1.12.2模组漏洞
请使用https://github.com/KosmX/jneedle
解决

---

欢迎光临 MC百科社群 (https://bbs.mcmod.cn/)

MC百科|最大的MineCraft中文模组百科