🇰🇷 한글 설명
PocketMine-MP 5.3.1 및 4.23.1 미만 버전에서 LoginPacket의 identityPublicKey가 필수적인 secp384r1 타원 곡선을 사용하는지 검증하지 못하는 취약점이 발견되었습니다. 공격자가 다른 곡선이나 비 타원 곡선 키를 포함한 LoginPacket을 전송할 경우, ECDH 키 유도 과정에서 예외가 발생하여 서버가 충돌할 수 있습니다.
💡 쉬운 설명
로그인 과정에서 사용하는 암호화 키가 올바른 형식인지 확인하지 않아 발생하는 문제입니다. 잘못된 형식의 키를 보낸 공격자가 서버를 강제로 종료시켜 서비스를 중단시킬 수 있습니다.
🇺🇸 원문 (English)
PocketMine-MP versions before 5.3.1 and 4.23.1 fail to validate that the identityPublicKey in LoginPacket uses the required secp384r1 elliptic curve. Attackers can provide LoginPackets with keys using different curves or non-EC key types to pass login verification but trigger an uncaught exception during ECDH key derivation, crashing the server.
📍 영향받는 시스템
PocketMine-MP versions before 5.3.1 and 4.23.1
⚔️ 공격 벡터
조작된 identityPublicKey를 포함한 LoginPacket을 전송하여 서버의 ECDH 키 유도 로직을 트리거함
🛡️ 대응 방법
PocketMine-MP를 최신 버전(5.3.1 또는 4.23.1 이상)으로 업데이트하십시오.
🔧 검증 코드
현재 설치된 PocketMine-MP의 버전을 확인하여 5.3.1 또는 4.23.1 이상인지 확인합니다.
php -r 'echo "PocketMine-MP Version: " . (file_exists("PocketMine-MP.phar") ? "Check version via plugin or logs" : "Not found");' | grep -E '5.3.1|4.23.1'