Angreifer kapern Minecraft-Server über BleedingPipe-Exploit

Derzeit finden Attacken auf Minecraft-Server statt, die mit bestimmten Modifikationen (Mods) laufen. Im Zuge dessen führen Angreifer Schadcode aus und kompromittieren Server. Attacken sollen auch auf Clients überspringen können. Wer so einen Server betreibt, sollte jetzt handeln.

Das Sicherheitsproblem

Vor den Attacken warnt das Minecraft-Community-Sicherheitsteam MMPA in einem Beitrag. Die Schwachstelle betrifft ihnen zufolge mit dem Modloader Forge geladene Mods in den Versionen 1.7.10/1.12.2. Die Lücke tangiert aber nicht konkret Forge, sondern Mods, die unsicheren Deserialization-Code (ObjectInputStream) einsetzen. Das ist etwa bei populären Mods wie EnderCore und LogisticsPipes der Fall. Auf einer Github-Website gibt es eine Liste von betroffenen Mods.

Eine CVE-Nummer der Sicherheitslücke ist derzeit nicht bekannt. Die Sicherheitsforscher haben die Schwachstelle BleedingPipe getauft. Aufgrund des fehlerhaften Codes können Angreifer mit Schadcode versehene Anfragen an verwundbare Server schicken. Im Anschluss sollen sie beliebigen Code ausführen können und auch Clients, die sich mit dem Server verbinden, infizieren.

Gegenmaßnahmen

MMPA zufolge steht eine Analyse des Exploits noch aus, sodass sie keine konkreten Sicherheitstipps geben können. Server-Admins sollten prüfen, ob es für verwundbare Mods bereits gegen die Attacken abgesicherten Versionen gibt und diese installieren. Das sollte aber nur aus offiziellen Quellen geschehen. Gibt es keine Updates, sollten sie angreifbare Mods deinstallieren. Außerdem sollten sie nach verdächtigen Dateien auf dem Server Ausschau halten und die Sicherheitstools jSus oder jNeedle laufen lassen.

Wer sich mit einem Minecraft-Server verbunden hat, sollte das Verzeichnis .minecraft ebenfalls mit den Tools scannen. Minecraft-Spieler, die nicht auf einem Server spielen, sind von der Sicherheitsproblematik nicht betroffen.

(des)