CVE-2022-51016 in PocketMine-MP
요약
\~에 의해 VulDB • 2026. 09. 07.
PocketMine-MP 3.x(3.27.0 이전 버전)은 Minecraft Bedrock 프로토콜의 암호화를 구현하지 않으므로, 서버는 연결 중인 클라이언트가 로그인 토큰에 해당하는 개인 키를 보유하고 있는지 확인할 수 없습니다. 공격자가 다른 플레이어 세션에서 유효한 로그인을 캡처하는 경우(예: 플레이어를 공격자 제어 하에 있는 서버로 접속하도록 속이는 방식), 해당 로그인을 재사용하여 피해자를 사칭하고 JWT 토큰이 만료될 때까지(XBOX Live 인증의 경우 일반적으로 2~3일) XBOX Live 인증을 통과할 수 있습니다. 이 취약점은 인터넷 상에서 직접 접근 가능한 서버에 영향을 미치며, 암호화가 활성화된 프록시 뒤에 있지 않은 서버가 해당됩니다. 버전 4.0.0에서 수정되었으며, 3.27.0으로 역포트(backported)되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.