Minecraft-yhteisössä on paljastunut poikkeuksellisen vakava tietoturvahaavoittuvuus (RCE, Remote Code Execution), joka koskee laajasti käytettyä Litematica-rakennusmodia sekä sen palvelinpuolen lisäosaa Servuxia.
Tämän haavoittuvuuden avulla pahantahtoinen palvelin voi ladata ja ajaa ulkopuolista koodia pelaajan tietokoneella. Pelkkä saastuneelle palvelimelle liittyminen riittää tietokoneen saastuttamiseen.
Välitön toimenpide
Jos käytät Litematicaa omalla koneellasi tai LakkaHost-palvelimellasi pyörii Servux, päivitä modit välittömästi virallisista lähteistä. Älä liity moninpelipalvelimille ennen päivitystä.
Miten haavoittuvuus toimii?
Ongelma liittyy Litematican ja Servuxin tapaan siirtää rakennustiedostoja (schematics) palvelimen ja asiakasohjelman välillä. Hyökkääjä voi pystyttää muokatun Minecraft-palvelimen, joka hyödyntää "path traversal" -tekniikkaa. Tällöin palvelin lähettää pelaajalle haitallisen .jar-tiedoston ja tallentaa sen normaalin sijainnin sijasta suoraan pelaajan mods-kansioon. Kun pelaaja käynnistää pelin seuraavan kerran, haittaohjelma suoritetaan.
Aukkoa on jo hyödynnetty aktiivisesti muiden palveluntarjoajien alustoilla pelaajien istuntotunnusten (session tokens) varastamiseen.
Toimintaohjeet palvelimen ylläpitäjille
Jos pyörität LakkaHostilla Fabric- tai Quilt-pohjaista Minecraft-palvelinta ja käytät Servux-modia, päivitä se heti hallintapaneelista:
- Sammuta palvelin Pterodactyl-hallintapaneelista.
- Avaa Files-välilehti ja siirry
mods-kansioon. - Etsi ja poista vanha Servux-modi.
- Lataa uusin, paikattu Servux-versio virallisesta lähteestä (Modrinth tai CurseForge).
- Lataa uusi tiedosto palvelimen
mods-kansioon ja käynnistä palvelin uudelleen.
Vinkki
LakkaHostin Pterodactyl-paneelissa tiedostojen hallinta onnistuu kätevästi suoraan selaimella, joten vanhan modin poisto ja uuden lataaminen on nopea prosessi!
Toimintaohjeet pelaajille
Jos käytät Litematicaa omassa pelissäsi (erityisesti Minecraft-versioissa 1.21 tai uudemmissa):
- Älä liity moninpelipalvelimille ennen päivitystä.
- Avaa tietokoneesi Minecraft-asennuskansio (
.minecraft/mods). - Poista vanha Litematica-modi.
- Lataa uusin korjattu versio Litematicasta sekä sen vaatimasta MaLiLib-kirjastosta Modrinthista tai CurseForgesta.
Tarvitsetko apua palvelimen kanssa?
Asiakkaidemme ja heidän pelaajiensa turvallisuus on meille ensiarvoisen tärkeää. Jos tarvitset apua modien päivittämisessä, LakkaHostin IT-tuki on valmiina auttamaan.
Hoidetaanko tämä puolestasi?
LakkaHostin nopeat, kotimaiset palvelimet ja suomenkielinen tuki tekevät tästä helppoa. Kysy lisää – vastaamme ihmisinä.