Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Security: executable archives downloaded over plain HTTP with hash verification disabled (nohash) - MITM code execution

Cerrado
  • ¿Algo no está bien?
#4,954 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
52/100
Tipo de issue
Error
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
bash, shell
Área
cli, devops, security

Línea de trabajo

Comienza con los puntos de llamada afectados en lgsm/modules/core_steamcmd.sh, update_mta.sh y command_install_resources_mta.sh; después, lee core_dl.sh alrededor de las líneas 217 y 445. Compara el manejo de las sumas de comprobación en install_server_files.sh. Se considera terminado cuando estos archivos comprimidos ejecutables usan HTTPS y verificación de sumas de comprobación antes de la extracción, y las rutas de instalación o actualización de SteamCMD y MTA siguen funcionando.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

engine: renderware game: Multi Theft Auto info: steamcmd

Security report (responsible disclosure)

Executable archives fetched over plain HTTP with hash verification disabled (nohash) — MITM code execution

Affected files:

  • lgsm/modules/core_steamcmd.sh:17-19
  • lgsm/modules/update_mta.sh:12-13
  • lgsm/modules/command_install_resources_mta.sh:17-18
fn_fetch_file "http://media.steampowered.com/client/steamcmd_linux.tar.gz" "" "" "" "${tmpdir}" "steamcmd_linux.tar.gz" "nochmodx" "norun" "noforce" "nohash"
fn_dl_extract "${tmpdir}" "steamcmd_linux.tar.gz" "${steamcmddir}"
chmod +x "${steamcmddir}/steamcmd.sh"

fn_fetch_file "http://linux.mtasa.com/dl/multitheftauto_linux_x64.tar.gz" ... "force" "nohash"
Chain

curl -L over plain HTTP (core_dl.sh:445) on first steamcmd install and on MTA updates → nohash bypasses fn_dl_hash entirely (core_dl.sh:217) → archive extracted into ${steamcmddir} / ${serverfiles} → steamcmd.sh is chmod +x'd and executed by every subsequent update/start; MTA binaries run at server start, and MTA resources execute as Lua inside the game server.

Any network attacker on path (or DNS hijack — no TLS involved) replaces the payload and gets shell execution as the LinuxGSM user, re-triggered automatically by update crons.

Severity

High — unauthenticated network position → persistent code execution.

Suggested fix

Serve both URLs over HTTPS (both hosts support it), and pin sha256 checksums the way install_server_files.sh already does for its tarballs. The existing MD5 pinning there is better than nothing but sha256 would be the modern baseline.

Lenguaje dominante
Shell
Estrellas
4.9k
Forks
870
Merge medio
14 h 50 min
PR fusionados (30 d)
109

Preparar el entorno

Abrir en Codespaces

Inicia el contenedor de desarrollo del proyecto en tu navegador, con tu propia cuenta de GitHub.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de GameServerManagers/LinuxGSM

Todos los issues de GameServerManagers/LinuxGSM

Issues similares

Más issues de Shell/Bash

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.