CVE-2023-37261

OpenComputers, oyuna programlanabilir bilgisayarlar ve robotlar ekleyen bir Minecraft modudur. Bu sorun, Internet Card özelliği etkinleştirilmiş tüm OpenComputers sürümlerini etkilemektedir; yani en yaygın varsayılan yapılandırmalarında OpenComputers 1.2.0 ile 1.8.3 arasındaki sürümleri kapsamaktadır. Eğer OpenComputers modu, AWS, GCP ve Azure gibi popüler bir bulut barındırma sağlayıcısı tarafından barındırılan bir Minecraft sunucusunun parçası olarak kurulmuşsa, bu meta veri servislerinin API uç noktaları varsayılan olarak yasaklanmamıştır ("kara listeye alınmamıştır"). Bu durum, herhangi bir oyuncunun söz konusu meta veri sunucuları aracılığıyla açığa çıkan hassas bilgilere erişmesine ve potansiyel olarak barındırma sağlayıcısına doğru sıçrama yapmasına veya yetki yükseltmesine olanak tanır. Ek olarak, IPv6 adresleri hiçbir şekilde doğru filtrelenmemekte ve yerel IPv6 ağına daha geniş erişim sağlanmaktadır. Bu durum, OpenComputers bilgisayarı kullanan bir sunucu üzerindeki oyuncunun, hassas bilgileri elde etmek amacıyla özel IPv4 adres alanının bazı bölümlerine ve tüm IPv6 adres alanına erişebilmesine izin verebilir. Minecraft 1.7.10 ve 1.12.2 için geliştirilen OpenComputers v1.8.3 sürümü, bu sorun için bir yama içermektedir. Bazı geçici çözümler de mevcuttur. Internet Card özelliği tamamen devre dışı bırakılabilir. OpenComputers 1.3.0 veya üzeri kullanılıyorsa, izin verilenler listesini (`opencomputers.internet.whitelist` seçeneği) kullanmak, listede yer almayan tüm IP adreslerine ve/veya etki alanlarına bağlantıları engelleyecektir; veya engellenenler listesine (`opencomputers.internet.blacklist` seçeneği) girişler eklenebilir. Azaltma önlemleri hakkında daha fazla bilgi GitHub Security Advisory sayfasında mevcuttur.