🇰🇷 한글 설명
PocketMine-MP 3.x 버전에서 Minecraft Bedrock 프로토콜 암호화가 구현되지 않아 발생하는 보안 취약점입니다. 공격자가 다른 플레이어의 로그인 세션을 탈취할 경우, 해당 토큰이 만료될 때까지 피해자의 계정으로 위장하여 접속할 수 있습니다.
💡 쉬운 설명
로그인 정보를 암호화하지 않아 해커가 남의 로그인 정보를 훔쳐서 그 사람인 척 서버에 들어올 수 있는 문제입니다. 해커가 가짜 서버로 유인해 정보를 빼낸 뒤, 원래 사용자의 이름으로 접속하는 방식입니다.
🇺🇸 원문 (English)
PocketMine-MP 3.x (before 3.27.0) does not implement Minecraft Bedrock protocol encryption, so the server cannot verify that a connecting client possesses the private key corresponding to its login token. An attacker who captures a valid login from another player's session (for example by tricking the player into connecting to an attacker-controlled server) can replay that login to impersonate the victim and pass XBOX Live authentication until the JWT token expires (typically 2-3 days). This affects servers directly reachable over the internet that are not behind a proxy with encryption enabled. Fixed in 4.0.0 and backported to 3.27.0.
📍 영향받는 시스템
PocketMine-MP 3.x (3.27.0 미만 버전)
⚔️ 공격 벡터
탈취한 로그인 토큰을 재사용하는 리플레이 공격(Replay Attack)
🛡️ 대응 방법
PocketMine-MP를 4.0.0 버전 이상으로 업데이트하거나, 3.x 사용 시 3.27.0 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 PocketMine-MP의 버전이 3.27.0 미만인지 확인하십시오.
php -r 'echo "PocketMine-MP Version Check\n";' && grep -r "version" . | grep -E '3\[0-9]\.'