canvo/cve-2022-35978-pocProva di concetto creata per CVE-2022-35978 solo a scopo educativo.
CVE-2022-35978 è una vulnerabilità di sicurezza critica che colpisce le versioni di Minetest fino alla 5.5.1 inclusa.
Minetest è un motore di gioco voxel gratuito e open-source che supporta la facile creazione di mod e giochi. In modalità giocatore singolo, un mod può impostare un'impostazione globale che controlla lo script Lua caricato per visualizzare il menu principale. Questo script viene poi caricato non appena si esce dalla sessione di gioco. L'ambiente Lua in cui viene eseguito il menu non è isolato (sandboxed), permettendo di interferire direttamente con il sistema dell'utente.
Per mitigare questo problema, si consiglia agli utenti di aggiornare Minetest alla versione 5.6.0 o successiva, dove la vulnerabilità è stata risolta.
Alla vulnerabilità è stato assegnato un punteggio base CVSS v3.1 di 10.0 (Critico) dal NVD, indicando un potenziale impatto elevato.
Per maggiori dettagli, fare riferimento al changelog ufficiale di Minetest e al commit GitHub che risolve questo problema.
Per eseguire gli script,
cve_2022_35978' nella directory '[MINETEST_PATH]/mods'.[MINETEST_PATH]/bin/mintest.exe' come Amministratore.Esc per tornare al menu principale.minetest.conf) includendo la seguente riga:enable_console = true
Da qui, quando avvii il gioco, verrà avviato anche il terminale dei comandi per stampare i messaggi.
Questo PoC è stato testato e verificato funzionante sulla versione 5.0.0 di Minetest su Windows 10 (Build 19045).
Test del PoC sulla versione 5.6.0 di Minetest conferma che il problema è stato risolto:
2025-02-28 23:24:11: ERROR[Main]: ModError: Failed to load and run script from C:\Users\Can\Desktop\minetest-5.6.0-win64\bin\..\mods\cve_2022_35978\init.lua:
2025-02-28 23:24:11: ERROR[Main]: Attempted to set disallowed setting.
2025-02-28 23:24:11: ERROR[Main]: stack traceback:
2025-02-28 23:24:11: ERROR[Main]: [C]: in function 'set'
2025-02-28 23:24:11: ERROR[Main]: ...minetest-5.6.0-win64\bin\..\mods\cve_2022_35978\init.lua:29: in main chunk
2025-02-28 23:24:11: ERROR[Main]: Check debug.txt for details.
2025-02-28 23:24:11: ACTION[Main]: Server: Shutting down
Ho sviluppato questo Proof of Concept (PoC) esclusivamente per scopi educativi e per facilitare l'apprendimento della sicurezza delle applicazioni tra i miei colleghi. Inoltre, ero particolarmente interessato a esplorare questa CVE a causa della mia forte passione sia per la sicurezza delle applicazioni che per la programmazione di videogiochi.
Questo Proof of Concept (PoC) è fornito strettamente per scopi educativi e per promuovere l'apprendimento nel campo della sicurezza delle applicazioni. Non approvo né supporto alcun uso malevolo di questo codice. Lo sfruttamento non autorizzato delle vulnerabilità può essere illegale e non etico. Utilizza questo PoC in modo responsabile e solo in ambienti in cui hai il permesso esplicito.