Skip to content

MC Server Launcher 1.6.2 — Seguridad / Security

Choose a tag to compare

View all tags
@JuanP-G JuanP-G released this 05 Jul 21:18
· 54 commits to main since this release
v1.6.2
79e140c

🇪🇸 Español · 🇬🇧 English below

🇪🇸 Novedades

Versión de seguridad: completa la revisión iniciada en la 1.6.1.

  • Instalador de Forge blindado: su checksum (.sha1) es ahora obligatorio (antes, si faltaba, se ejecutaba sin verificar) y su estructura se valida antes de pasarlo a java — un archivo sustituido o truncado se descarta, nunca se ejecuta.
  • La clave de Playit nunca se guarda sin cifrar: si el cifrado fallara (DPAPI o archivo de clave), la clave no se persiste, queda registrado en el log diario y se te avisa una vez. Sigue funcionando durante la sesión.
  • server.properties a prueba de inyección: los valores del editor visual y el MOTD ya no pueden colar líneas extra (por ejemplo enable-rcon=true) mediante saltos de línea.
  • Nombres de jugador estrictos: whitelist, op, ban, kick y pardon validan contra el patrón real de Minecraft (letras, números y _, máximo 16) y rechazan el resto con un mensaje claro.
  • Liberar un puerto es más seguro: se recomprueba que el proceso que lo ocupa siga siendo el mismo justo antes de cerrarlo, para no matar un proceso inocente si el PID se reutilizó.
  • Iconos de mods con límites: tamaño máximo de 2 MB (aplicado aunque el servidor mienta en el Content-Length) y content-type de imagen obligatorio.

🇬🇧 What's new

Security release: completes the review started in 1.6.1.

  • Hardened Forge installer: its checksum (.sha1) is now mandatory (it used to run unverified if missing) and its structure is validated before handing it to java — a swapped or truncated file is discarded, never executed.
  • The Playit key is never saved unencrypted: if encryption ever fails (DPAPI or key file), the key isn't persisted, the failure is recorded in the daily log and you're warned once. It keeps working for the session.
  • Injection-proof server.properties: values from the visual editor and the MOTD can no longer sneak extra lines (e.g. enable-rcon=true) via line breaks.
  • Strict player names: whitelist, op, ban, kick and pardon validate against Minecraft's real pattern (letters, digits and _, max 16) and reject anything else with a clear message.
  • Safer port freeing: the process holding the port is re-checked right before closing it, so an innocent process isn't killed if the PID was reused.
  • Mod icons with limits: a 2 MB size cap (enforced even if the server lies about Content-Length) and a mandatory image content-type.

📦 Descargas / Downloads

  • Windows — MC-ServerLauncher-Setup-1.6.2.exe + SHA256SUMS.txt
  • Linux — MC-ServerLauncher-x86_64.AppImage
  • macOS — MC-ServerLauncher-AppleSilicon.dmg · MC-ServerLauncher-Intel.dmg

macOS: la app no está firmada. La primera vez, clic derecho sobre ella → Abrir.

The app is unsigned. The first time, right-click it → Open.

Assets 7
Loading