Профиль: Аноним (вход | регистрация) неRU opennet.me  
OpenNET

[ новости /+++ | форум | теги |    ]

Взлом сервера с модами, дополнениями и ресурсами для игрового движка Luanti

28.10.2026 11:32 (MSK)

Разработчики свободного игрового движка Luanti, позволяющего создавать игры в стиле Minecraft, объявили об инциденте, в результате которого атакующие получили доступ к серверу проекта, обслуживающему каталог content.luanti.org, через который производится загрузка модов, игр, дополнений, текстур и прочих ресурсов в экосистеме Luanti. В руки атакующих попали персональные данные, IP-адреса и хэши паролей (bcrypt) зарегистрированных пользователей. Атакующие также имели возможность вносить изменения в пакеты, распространяемые через каталог ContentDB.

Доступ был получен через эксплуатацию двух уязвимостей, одна из которых была в стороннем открытом проекте. Детали пока не раскрываются, но в репозиторий платформы ContentDB в последние несколько дней были добавлены изменения, блокирующие формирование релизов из Git и устраняющие уязвимость, связанную с выставлением символических ссылок на внешние каталоги при выполнении операции "git clone". Также в репозитории запрещён внешний доступ к API celery-exporter через сетевые порты 5125 и 9540 и удалён присутствующий в коде URL с прошитым идентификатором для системы мониторинга Grafana.

Первые следы несанкционированной активности зафиксированы 22 октября в 16:00 (MSK) - атакующие получили доступ к внутренней конфигурации платформы и смогли подключиться под учётной записью одного из администраторов, позволяющей вносить изменения в загруженный контент. 26 октября в 3:15 (MSK) атакующие смогли получить полный доступ к системе внутри docker-контейнера и к СУБД проекта.

26 октября в 12:00 (MSK) взлом был обнаружен, работа сервиса ContentDB остановлена, а все токены для доступа к GitHub (OAuth) и API отозваны. Сверка содержимого каталога с данными из резервной копии не выявила модификации пакетов, но целостность пакетов, загруженных в каталог с 22 по 26 октября не гарантируется. В настоящее время сервис ContentDB отключён и будет возвращён в строй не раньше чем через неделю.

  1. Главная ссылка к новости (https://blog.luanti.org/2026/1...)
  2. OpenNews: Игровой движок Luanti удалён из Google Play из-за ошибочной жалобы, сгенерированной AI
  3. OpenNews: Релиз свободного воксельного игрового движка Luanti 5.15.0
  4. OpenNews: Взлом внутреннего GitLab-сервера Red Hat
  5. OpenNews: Разработчики Xubuntu опубликовали отчёт о взломе сайта Xubuntu.org
  6. OpenNews: В Fedora выявлена подмена взломанного участника AI-агентом для продвижения сомнительных изменений
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/66563-luanti
Ключевые слова: luanti, hack
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (28) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 13:08, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/–
    Если что майнкрафтом и гитхабом майкрософт владеет, душат конкурентов
     
  • 1.2, Аноним (2), 13:11, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/–
    А нельзя сменить зеркало сервера?

    Вот в Minetest запустил - играешь. Ничего лишнего.

     
     
  • 2.9, Аноним (9), 13:46, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +3 +/–
    ЕМНИП, Luanti - переименованный Minetest.
     
     
  • 3.15, Аноним (15), 14:13, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Так и есть, вопрос полностью лишён смысла.
     

  • 1.5, Старый анонимус (?), 13:20, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/–
    Если честно, сейчас вся эта волна взломов из-за возможностей ИИ ещё только разгоняется и ответственным специалистам это явно нервов потрепает. Коллеги, держитесь. Терпения вам, сил и спокойствия!
     
     
  • 2.6, Аноним (2), 13:34, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    Взламываю все то что открыто и относительно публичное. Это было всегда. Децентрализация хоть как-то позволяет от этого уйти.
     

  • 1.7, Аноним (7), 13:35, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/–
    Этих то за зачем интересно, они вроде и не продают нечего, с этих и брать нечего как и с их юзеров.
     
     
  • 2.10, Аноним (9), 13:47, 28/10/2026 Скрыто ботом-модератором     [к модератору]
  • +/–
     
     
  • 3.11, Аноним (9), 13:47, 28/10/2026 Скрыто ботом-модератором     [к модератору]
  • +/–
     
  • 2.13, Смузихеб забывший пароль (?), 13:59, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Ну потому мб ничего и не сделали
    Думали, что денег там найдут, а в итоге - сами им оставили последний полтинник и недоеденный пакет чипсов
     
  • 2.17, Агл (ok), 14:56, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • –1 +/–
    наверное их можно охарактеризовать как операторы персональных данных и организаторы распространения информации
     

  • 1.12, Аноним (12), 13:49, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/–
    > В руки атакующих попали персональные данные, IP-адреса...

    Наконец нашли игроков по АЙПИ.

     
  • 1.16, Аноним (15), 14:26, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/–
    Всегда казалось сомнительной идея скачивать рандомные блобы из васянорепы. Стратегия скачивать верифицируемые ресурсы из независимого источника более здравая, хомякам конечно подавай чтоб всё само скачивалось. Но одно дело это какой-нибудь стим, и другое сервер в чулане.
     
     
  • 2.19, Аноним (19), 15:02, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Там не блобы, а зип архивы с исходниками на луа
     
  • 2.21, limafresh (ok), 15:11, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Что в вашем понимании "верифицируемые ресурсы" и "независимый источник"? Чем отличается архив с Lua-кодом на GitHub от архива с Lua-кодом на ContentDB?
     
     
  • 3.25, Аноним (15), 16:01, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Разбросанные по рапидшарам архивы и ты всегда можешь сверить хеши и подписи разработчиоков на хэшах. Всё это конечно должно быть максимально разнесено, чтобы копроментация части ресурсов была очевидна. Когда всё централизовано и не контролируется потребителем, атаки становятся тривиальными. Всегда можно сказать, что "нас взломали".
     
     
  • 4.28, limafresh (ok), 17:06, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    > потребителем

    Максимально противное слово, особенно в контексте пользователей некоммерческих открытых модов.

     
     
  • 5.31, Аноним (15), 17:38, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Без потребителей любая экосистема обречена.
     
  • 2.24, Аноним (24), 15:39, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +1 +/–
    Моды Luanti по умолчанию работают в песочнице, без доступа к системе. Если атакующим не известна какая-то уязвимость в Lua или Luanti, не понятно, что они дальше намеревались с этим делать.
     
     
  • 3.26, Аноним (15), 16:02, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Там luajit. Ты сам в это веришь?
     

  • 1.18, Аноним (18), 14:58, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    Прям очень ожидаемо это было. Вот поэтому у меня во FreeBSD'шном порте luanti отключен курл, и из портов же поставлена mineclonia.
     
  • 1.20, limafresh (ok), 15:06, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/–
    Не понимаю, зачем такое взламывать. Денег и ценных/конфиденциальных личных данных (чтобы шантажировать) там нет, только общедоступные моды и комментарии. Чтобы просто насолить? Или какой-то конкурент заказал взлом? Тоже имею там свои дополнения.
     
     
  • 2.22, Аноним (22), 15:13, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Да потому что могут. Как раньше скрипткиддис ломали вообще всё подряд — журнал «хакер» вспомните.
     
  • 2.27, Аноним (27), 16:27, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Чтобы собрать ботнет.
     
     
  • 3.29, limafresh (ok), 17:16, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Если не ошибаюсь, ботнет - это сеть захваченных злоумышленниками аккаунтов, чтобы транслировать нужные нарративы, создавая видимость массовой поддержки той или иной идеи. И где они будут это делать? В самом ContentDB? Так это узкоспециализированный сайт, а не массовая соцсеть, и возможности обмена информацией там ограничены, ведь основной функционал - публикация дополнений.
     
     
  • 4.30, Аноним (7), 17:26, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    Нет, не чтобы транслировать нужные нарративы (хз как вы это себе представляете реализацию), а ботнеты вроде - для атак используются - создать нагрузку, или положить сайт, или чтобы поддержать атаку на сервис/сайт/нужное_подчеркнуть.
     
     
  • 5.32, limafresh (ok), 17:58, 28/10/2026 [^] [^^] [^^^] [ответить]  
  • +/–
    И каким образом аккаунты пользователей ContentDB (наборы данных на сервере) помогут атаковать сайт?

    > хз как вы это себе представляете реализацию

    Как это как? С захваченного аккаунта пишутся комментарии к постам с выражением той или иной политической позиции. Когда таких захваченных аккаунтов много, и из каждого пишутся комментарии, создаётся впечатление массовой поддержки того, что они транслируют. В случае с ContentDB это плохо реализуемо, ведь это даже не соцсеть.

     

  • 1.23, Bob (??), 15:31, 28/10/2026 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/–
    А зачем эта новость вообще тут?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    XSQUARE
    Inferno Solutions
    Hosting by Hoster.ru
    Хоcтинг: