🇰🇷 한글 설명
CC: Tweaked 모드가 AWS, GCP, Azure와 같은 클라우드 호스팅 환경에서 실행될 때 메타데이터 서비스 API 엔드포인트를 기본적으로 차단하지 않는 취약점입니다. 이를 통해 공격자는 민감한 정보에 접근하여 클라우드 인프라로 권한을 상승시키거나 침투를 확장할 수 있습니다.
💡 쉬운 설명
마인크래프트 모드의 설정 오류로 인해, 서버를 운영하는 클라우드 서비스의 중요한 비밀 정보가 외부로 노출될 수 있는 문제입니다. 해커가 이 정보를 이용하면 서버 관리자 권한을 탈취하거나 클라우드 전체를 공격할 위험이 있습니다.
🇺🇸 원문 (English)
CC: Tweaked is a mod for Minecraft which adds programmable computers, turtles, and more to the game. Prior to versions 1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3, and 1.16.5-1.101.3, if the cc-tweaked plugin is running on a Minecraft server hosted on a popular cloud hosting providers, like AWS, GCP, and Azure, those metadata services API endpoints are not forbidden (aka "blacklisted") by default. As such, any player can gain access to sensitive information exposed via those metadata servers, potentially allowing them to pivot or privilege escalate into the hosting provider. Versions 1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3, and 1.16.5-1.101.3 contain a fix for this issue.
📍 영향받는 시스템
CC: Tweaked (1.20.1-1.106.0 미만, 1.19.4-1.106.0 미만, 1.19.2-1.101.3 미만, 1.18.2-1.101.3 미만, 1.16.5-1.101.3 미만 버전)
⚔️ 공격 벡터
모드 내 프로그래밍 가능한 컴퓨터를 사용하여 클라우드 메타데이터 API 엔드포인트에 접근 및 데이터 탈취
🛡️ 대응 방법
취약점이 해결된 최신 버전(1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3, 1.16.5-1.101.3 이상)으로 업데이트
🔧 검증 코드
명령어 결과에 패치된 버전 번호가 포함되어 있으면 안전하며, 포함되지 않은 이전 버전이면 취약한 상태입니다.
grep -r 'cc-tweaked' . | grep -E '1.20.1-1.106.0|1.19.4-1.106.0|1.19.2-1.101.3|1.18.2-1.101.3|1.16.5-1.101.3'