Что такое RCE 0-day exploit ?

[WHJ]

Кароче слышал, что нашли какой-то эксплоит с помощью которого можно дистанционно управлять компьютером или воровать данные с пк (например: discord; данные от аккаунта mineraft). Вроде как есть кое-какая комманда которую прописывают в чат (в майнкрафте) и смотря какой код прописать, можно сделать что угодно с пк (например: запустить калькулятор, собрать данные, крашнуть майнкрафт, вывести любую ошибку на экране у жертв(-ы) и т.д.). Слышал, что пофиксили только ОФФИЦИАЛЬНЫЙ майнкрафт, и то только 1.18.1 версию :/
Типо блять через чат карл, ЧАТ можно сделать что угодно с пк :/

 

[Senior_Gamania]

Вам сюда:

Пожалуйста, авторизуйтесь для просмотра ссылки.

По майнкрафту:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Протестировать для майнкрафта уязвимость можно тут:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Пожалуйста, авторизуйтесь для просмотра ссылки.

В кратце: Это ошибки недоработки кода оригинального продукта, которые позволяют простому человеку выполнять в приложении свой собственный код, манипулируя недоработкой приложения, из под которого и выполняется запуск.

 

[DredBull]

Вам сюда:

Пожалуйста, авторизуйтесь для просмотра ссылки.

По майнкрафту:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Протестировать для майнкрафта уязвимость можно тут:

Пожалуйста, авторизуйтесь для просмотра ссылки.

Пожалуйста, авторизуйтесь для просмотра ссылки.

В кратце: Это ошибки недоработки кода оригинального продукта, которые позволяют простому человеку выполнять в приложении свой собственный код, манипулируя недоработкой приложения, из под которого и выполняется запуск.

Екарный бабай эти майки

 

[Senior_Gamania]

Слышал, что пофиксили только ОФФИЦИАЛЬНЫЙ майнкрафт, и то только 1.18.1 версию :/

Про эту уязвимость на самом деле и раньше знали, просто хайпанула сейчас.
А по поводу фиксов:
Дело в том, что LDAP в Java не разрешает делать запуск произвольного кода с URL по дефолту, начиная с версии 1.8_192 билд и выше.
Простой фикс - обновить джаву.
А по поводу оставшейся дырки - он позволит максимум что сделать - вызвать класс (не метод даже!!!) какой ни будь уже загруженной в память JVM.
Сервера например так можно убить, если знать что там загружено, но по понятным причинам это не ляжет в паблик от меня. А клиенты... Ну вряд-ли там что-то можно сделать.
Что можно делать спокойно - кидать ldap запросы и заставлять сервера зависать :D

 

[Jadovran]

"Мы убьём твоих врагов." (c)

 

[D3TR1NE]

через какую то хуиту исполняли код на твоем пк
и мне кажется кто то долго мог это юзать)