🇰🇷 한글 설명
PocketMine-MP 4.12.3 이전 버전은 인증되지 않은 세션 수를 제한하지 않습니다. 공격자는 LoginPacket을 보내지 않고 세션만 생성해 최대 플레이어 슬롯을 점유할 수 있으며, 이로 인해 정상 플레이어의 접속이 차단됩니다.
💡 쉬운 설명
게임 서버에 로그인하지 않은 가짜 연결을 대량으로 만들어 자리를 모두 차지하는 공격입니다. 그 결과 실제 플레이어가 서버에 들어오지 못하게 됩니다.
🇺🇸 원문 (English)
PocketMine-MP before 4.12.3 fails to limit unauthenticated sessions, allowing attackers to exhaust player slots by creating sessions without sending LoginPacket. Attackers can flood the server with unauthenticated connections that occupy max-player slots, preventing legitimate players from joining.
📍 영향받는 시스템
PocketMine-MP 4.12.3 미만 버전 (Minecraft Bedrock 서버 소프트웨어)
⚔️ 공격 벡터
LoginPacket 전송 없이 다수의 세션을 생성하여 max-player 슬롯을 고갈시키는 방식의 서비스 거부 공격
🛡️ 대응 방법
PocketMine-MP를 4.12.3 이상으로 업데이트하고, 방화벽/라우터 수준에서 IP별 연결 수를 제한합니다.
🔧 검증 코드
출력된 파일 경로와 버전 문자열을 확인하여 4.12.3 미만이면 취약한 것이며, 파일이 없으면 이 호스트에 PocketMine-MP가 설치되어 있지 않은 것입니다.
if [ -f ./PocketMine-MP.phar ]; then php -r 'echo "PocketMine-MP 설치 파일 확인됨\n";' ; grep -Ei 'version|api' ./PocketMine-MP.phar 2>/dev/null | head -n 5; else find / -name 'PocketMine-MP*.phar' 2>/dev/null | head -n 5; fi