CVE-2023-37262
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Mod CC: Tweaked dla Minecrafta przed wersjami 1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3 oraz 1.16.5-1.101.3 nie blokuje domyślnie punktów końcowych API usług metadanych w popularnych chmurach, takich jak AWS, GCP i Azure. To umożliwia graczom dostęp do wrażliwych informacji, co może prowadzić do eskalacji uprawnień na poziomie dostawcy chmury.
Ocena ryzyka
Organizacje mogą być narażone na wyciek wrażliwych danych oraz potencjalne ataki, które mogą prowadzić do eskalacji uprawnień w infrastrukturze chmurowej. To stwarza poważne zagrożenie dla bezpieczeństwa danych i systemów.
Rekomendacja
Zaleca się aktualizację modów CC: Tweaked do wersji zawierających poprawki, aby zablokować dostęp do punktów końcowych API metadanych. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa serwera Minecraft w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
CC: Tweaked is a mod for Minecraft which adds programmable computers, turtles, and more to the game. Prior to versions 1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3, and 1.16.5-1.101.3, if the cc-tweaked plugin is running on a Minecraft server hosted on a popular cloud hosting providers, like AWS, GCP, and Azure, those metadata services API endpoints are not forbidden (aka "blacklisted") by default. As such, any player can gain access to sensitive information exposed via those metadata servers, potentially allowing them to pivot or privilege escalate into the hosting provider. Versions 1.20.1-1.106.0, 1.19.4-1.106.0, 1.19.2-1.101.3, 1.18.2-1.101.3, and 1.16.5-1.101.3 contain a fix for this issue.