canvo/cve-2022-35978-poc교육 목적으로만 CVE-2022-35978에 대해 생성된 개념 증명입니다.
CVE-2022-35978는 Minetest 버전 5.5.1 이하에 영향을 미치는 치명적인 보안 취약점입니다.
Minetest는 무료 오픈소스 복셀 게임 엔진으로, 쉬운 모딩과 게임 제작을 지원합니다. 싱글 플레이어 모드에서 모드는 메인 메뉴를 표시하기 위해 로드되는 Lua 스크립트를 제어하는 전역 설정을 지정할 수 있습니다. 이 스크립트는 게임 세션을 종료하는 즉시 로드됩니다. 메뉴가 실행되는 Lua 환경은 샌드박싱되지 않아 사용자의 시스템에 직접 간섭할 수 있습니다.
이 문제를 완화하려면 사용자는 취약점이 해결된 Minetest 5.6.0 이상 버전으로 업데이트하는 것이 좋습니다.
이 취약점은 NVD에 의해 CVSS v3.1 기본 점수 10.0 (치명적)으로 평가되어 높은 잠재적 영향을 나타냅니다.
자세한 내용은 공식 Minetest 변경 로그 및 이 문제를 해결한 GitHub 커밋을 참조하십시오.
스크립트를 실행하려면,
cve_2022_35978' 디렉토리를 '[MINETEST_PATH]/mods' 디렉토리에 넣습니다.[MINETEST_PATH]/bin/mintest.exe'를 관리자 권한으로 실행합니다.Esc 키를 눌러 메인 메뉴로 돌아갑니다.minetest.conf)을 업데이트하여 다음 줄을 포함할 수 있습니다.enable_console = true
이렇게 하면 게임을 실행할 때 명령 터미널도 함께 실행되어 print 메시지를 출력합니다.
이 PoC는 Windows 10 (Build 19045)에서 Minetest 버전 5.0.0에서 테스트 및 작동이 확인되었습니다.
Minetest 버전 5.6.0에서 PoC를 테스트한 결과 이 문제가 해결되었음을 확인했습니다.
2025-02-28 23:24:11: ERROR[Main]: ModError: Failed to load and run script from C:\Users\Can\Desktop\minetest-5.6.0-win64\bin\..\mods\cve_2022_35978\init.lua:
2025-02-28 23:24:11: ERROR[Main]: Attempted to set disallowed setting.
2025-02-28 23:24:11: ERROR[Main]: stack traceback:
2025-02-28 23:24:11: ERROR[Main]: [C]: in function 'set'
2025-02-28 23:24:11: ERROR[Main]: ...minetest-5.6.0-win64\bin\..\mods\cve_2022_35978\init.lua:29: in main chunk
2025-02-28 23:24:11: ERROR[Main]: Check debug.txt for details.
2025-02-28 23:24:11: ACTION[Main]: Server: Shutting down
이 PoC(Proof of Concept)는 오직 교육 목적으로, 그리고 동료 간의 애플리케이션 보안 학습을 촉진하기 위해 개발했습니다. 또한 애플리케이션 보안과 비디오 게임 프로그래밍에 대한 강한 열정으로 인해 이 CVE를 탐구하는 데 특히 관심이 있었습니다.
이 PoC(Proof of Concept)는 엄격히 교육 목적으로, 그리고 애플리케이션 보안 분야의 학습을 장려하기 위해 제공됩니다. 저는 이 코드의 악의적인 사용을 묵인하거나 지지하지 않습니다. 취약점의 무단 악용은 불법적이고 비윤리적일 수 있습니다. 이 PoC를 책임감 있게 사용하고 명시적 허가가 있는 환경에서만 사용하십시오.