Le mod di gioco possono creare vulnerabilità del buffer overflow?

Question

Di solito non post in forum perché normalmente riesco a trovare qualsiasi risposta che ho bisogno di usare Google. Tuttavia, ogni ricerca che sto usando mi sta dando risultati molto specifici, come le vulnerabilità del buffer overflow che già esistono per un gioco o un sistema specifico che non è quello di cui ho bisogno.

Ho una rete domestica che include Windows Server 2008 R2 e mio figlio vuole avviare un server Minecraft che ovviamente voglio dargli pieno accesso a così può imparare. Tuttavia, so che ogni gioco è "moddable" e utilizza mappe personalizzate e simili in molti dei suoi giochi.

La mia preoccupazione è che creerò rischi di sicurezza sulla mia rete basata sulla programmazione inesperta. Gli darà la possibilità di installare e creare mod sul mio server potenzialmente aprire le vulnerabilità (al di fuori delle porte di Minecraft aperte) a causa della possibile inneata delle persone che effettivamente scrivendo le mod? Oppure fanno mod semplicemente semplicemente non funzionano in questo modo e non riesco a trovare una risposta alla mia domanda perché è ritardata e nessuno effettivamente programmi un mod lol?

Answer 1

Dipende dal modo in cui il sistema Mod funziona per il gioco e se il gioco stesso è Sandboxed. È importante sottolineare che nessun software è perfettamente sicuro. Devi decidere quale livello di sicurezza e affidabilità con cui sei soddisfatto.

Ci sono diversi modi in cui un mod potrebbe esporre una vulnerabilità:

.
1. Il gioco potrebbe consentire all'accesso a MOD a un insieme di azioni inappropriatamente permissivo, ad esempio l'accesso al filesystem. Questo può includere lo sviluppatore non sandboxing del mod correttamente.
2. Il mod potrebbe sfruttare una vulnerabilità nell'aPI del gioco per accedere alle azioni che lo sviluppatore del gioco non intendeva. Questo sarebbe dovuto a un bug nell'aPI.
3. Il mod potrebbe sfruttare una vulnerabilità nel motore linguistico (ad esempio, Java ha una lunga storia di vulnerabilità della sicurezza).
4. Il mod stesso potrebbe essere vulnerabile all'attacco e potrebbe essere fatto per lanciare uno degli attacchi sopra.

Se il sistema MOD è uno script o VM basato, come Lua, JavaScript o Java, mi sentirei relativamente in modo sicuro che installa mods (fintanto che il gioco ha un API / Sandbox Ben implementato), Perché gli exploits 2-4 sono relativamente improbabili.

(la mia comprensione di nativo i mod di codice / plugin è limitato, ma sono abbastanza sicuro che devi fidarsi di una mod nativa se vuoi eseguirlo. Anche se lo fai, potrebbe essere ancora sfruttabile.)

La mia comprensione dei mod Minecraft è che sono scritti in Java. La mia sensazione riguardo ai ragazzi Mojang è che sanno cosa stanno facendo, quindi sarei sorpreso se la loro API mod non sia eccezionalmente ben progettata e implementata. Detto questo, installare mods necessariamente introduce un rischio per la sicurezza.

Se questo rischio è inaccettabile, è possibile ridurlo introducendo la profondità al sistema. Perché no, per esempio, eseguire il server Minecraft in una macchina virtuale, con accesso limitato alla rete (solo le porte richieste, ad esempio)? In questo modo l'impatto delle vulnerabilità è ridotto notevolmente.

Si consiglia di creare un Ubuntu VM su VirtualBox (perché sono entrambi gratuiti come in birra), ma è possibile installarlo su qualsiasi sistema operativo con cui ti trovi a tuo agio.

Answer 2

Le vulnerabilità di sovraccarico del buffer sono associate ai linguaggi di programmazione che consentono l'accesso alla memoria deselezionato.Minecraft è scritto in Java, una lingua che non è suscettibile ai superamenti del buffer, quindi una mod pure-java sarebbe molto improbabile che mostri qualcosa che assomiglia a questo tipo di vulnerabilità.

Naturalmente i programmi in Java possono ancora essere vulnerabili ad altri tipi di problemi di sicurezza, sia contro il gioco stesso (ad esempio, ci sono stati gli exploit di accesso con account di gioco contro i server Minecraft) o contro il server (non sono a conoscenza di alcuno notoCasi di questo per Minecraft, ma è sempre possibile).Si applicano le solite mitigazioni per gli esecuzione di server, ad esempio bloccare l'accesso alla rete a un buon IPS, se possibile, eseguire il server come utente limitato e così via.