Skip to content

MC Server Launcher 1.8.2 — Seguridad / Security

Latest
Latest

Choose a tag to compare

View all tags
@JuanP-G JuanP-G released this 17 Aug 22:39
v1.8.2
27ce6dd

🇪🇸 Español · 🇬🇧 English below

🇪🇸 Novedades

Tres correcciones de seguridad. No tienes que hacer nada: basta con actualizar.

  • Tu clave de Playit deja de estar expuesta. La app se molesta en guardarla cifrada en disco… y acto seguido se la entregaba al sistema en claro, como parte de la línea de comandos del agente. Eso es visible para todo el equipo: en Linux /proc/<pid>/cmdline lo puede leer cualquier usuario, y en Windows cualquier proceso tuyo lo saca por WMI; además las líneas de comandos son justo lo que registran y mandan fuera los antivirus y los sistemas de auditoría. Ahora se le pasa al agente en un fichero privado (permisos 0600 en Linux y macOS) que se borra en cuanto el agente para.
  • El Java descargado ya no se instala nunca sin comprobar. La verificación dependía de que Adoptium incluyese el checksum en su respuesta; si no lo incluía, la app descargaba, descomprimía y ejecutaba un Java sin comprobar nada. Era el único binario que la app ejecuta cuya verificación era opcional. Ahora, sin checksum no hay instalación.
  • El enlace de actualización se valida. El enlace de «hay una versión nueva» viene de la API de GitHub y se abría sin pasar por la validación que la app ya tenía para el resto de enlaces.

🇬🇧 What's new

Three security fixes. You don't have to do anything: just update.

  • Your Playit key is no longer exposed. The app goes to the trouble of storing it encrypted on disk… and then handed it to the system in the clear, as part of the agent's command line. That is visible to the whole machine: on Linux any user can read /proc/<pid>/cmdline, and on Windows any process of yours can pull it out through WMI — and command lines are exactly what antivirus and audit systems record and ship elsewhere. It is now handed to the agent in a private file (0600 permissions on Linux and macOS) that is deleted as soon as the agent stops.
  • The downloaded Java is never installed unchecked. Verification depended on Adoptium including the checksum in its response; if it didn't, the app downloaded, unpacked and ran a Java that nothing had verified. It was the only binary the app executes whose verification was optional. Now, no checksum means no install.
  • The update link is validated. The "a new version is available" link comes from GitHub's API and was opened without going through the validation the app already had for every other link.

📦 Descargas / Downloads

  • Windows — MC-ServerLauncher-Setup-1.8.2.exe + SHA256SUMS.txt
  • Linux — MC-ServerLauncher-x86_64.AppImage
  • macOS — MC-ServerLauncher-AppleSilicon.dmg · MC-ServerLauncher-Intel.dmg

macOS: la app no está firmada. La primera vez, clic derecho sobre ella → Abrir.

The app is unsigned. The first time, right-click it → Open.

Assets 7
Loading