Програмист публикува PoC код за сериозна уязвимост, засягаща Minecraft сървъри

След като повече от две години чакане Mojang да оправят уязвимост, която може да извади от строя сървъри на Minecraft, пакистанският разработчик Амар Ашкар изгубил търпение и публикува тази седмица в публичното пространство PoC (proof-of-concept) код, с който валидира уязвимостта. Единствената му цел с това действие е да накара хората от компанията е да се активизират и да оправят проблема, спасявайки от опасността десетки геймъри, поддържащи Minecraft сървъри.

„Mojang отдавна вече не са малка независима компания, издаваща малка инди игра. Софтуерът им се използва от хиляди сървъри, като стотици хиляди хора играят на тези сървъри, а софтуерът работи по всяко едно време на тези машини. Те са задължени да оправят надлежно подобни проблеми. В допълнение към това е нужно да заявя, че снизходителните отговори към докладите на независими разработчици по сигурността, които съвсем отговорно разкриват уязвимости в опит да подобрят продукти, които се радват да ползват, представлява сигурен начин да накарат същите тези специалисти да си замълчат, когато следващия път се натъкнат на подобен проблем“, пише Ашкар. Той многократно е изпращал доклади за проблема към хората от Mojang, но явно от това не е имало полза. По едно време, те му писали, че са оправили проблема, но реално нищо не били оправили, открил той. Според Ашкар, те даже не са се опитали да оправят проблема. „Уязвимостта произтича от това, че клиентът може да изпраща информация към сървъра за определени слотове. Това, заедно с възможността за укрупняването (nesting) на форматите, позволява изготвянето на пакети, които представляват изключително сложна за сървъра задача да ги де-сериализира, но съвсем проста задача, за нас да ги генерираме“, обяснява Ашкар.