CVE-2020-37277
ŚrednieCVSS 6.5Streszczenie
Wersje PocketMine-MP przed 3.15.4 zawierają podatność na odmowę usługi w metodzie findResultItem() komponentu InventoryTransaction. Złośliwi klienci mogą wysyłać specjalnie spreparowane InventoryTransactionPackets z wieloma sprzecznymi ścieżkami, co powoduje wykładniczą złożoność przetwarzania i zamraża serwer.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS, który może całkowicie zamrozić serwer, uniemożliwiając działanie usługi dla wszystkich graczy.
Rekomendacja
Zaleca się aktualizację PocketMine-MP do wersji 3.15.4 lub nowszej, która zawiera poprawkę eliminującą problem wykładniczej złożoności.
Inne podatności w PocketMine-MP
Zobacz wszystkie- CVE-2022-51009Wysokie
PocketMine-MP przed wersją 4.7.2 nieprawidłowo obsługuje wyjątki z biblioteki adhocore/json-comment podczas parsowania danych geometrii skóry. Atakujący mogą wysłać pakiety logowania lub skóry z nieprawidłowym JSON geometrii, co wywołuje nieobsłużony wyjątek RuntimeException i powoduje awarię serwera.
- CVE-2022-51008Średnie
PocketMine-MP przed wersją 4.12.3 nie ogranicza nieuwierzytelnionych sesji, co pozwala atakującym na wyczerpanie slotów graczy poprzez tworzenie sesji bez wysyłania LoginPacket. Atakujący mogą zalać serwer nieuwierzytelnionymi połączeniami, które zajmują sloty maksymalnej liczby graczy, uniemożliwiając prawdziwym graczom dołączenie.
- CVE-2021-48007Średnie
Wersje PocketMine-MP przed 3.18.1 nie walidują wartości NaN lub INF w polach pozycji i rotacji w MovePlayerPacket. Złośliwi klienci mogą wysyłać spreparowane pakiety ruchu z nieprawidłowymi wartościami zmiennoprzecinkowymi, aby doprowadzić do awarii serwera poprzez nieobsłużone operacje matematyczne lub uniemożliwić klientom renderowanie innych graczy.
- CVE-2021-48006Niskie
PocketMine-MP przed wersją 4.0.3 nie wykonuje dopasowania bez uwzględniania wielkości liter podczas usuwania wpisów operatora z ops.txt. Funkcja removeOp zamienia podaną nazwę na małe litery, ale usuwa tylko dokładnie pasujący wpis, więc nazwa operatora zapisana z nie-małymi literami nie może zostać cofnięta za pomocą komendy deop, pozostawiając gracza jako operatora, dopóki wpis nie zostanie usunięty ręcznie z ops.txt.
- CVE-2023-7332Wysokie
Podatność w PocketMine-MP przed wersją 4.18.1 wynika z nieprawidłowej walidacji danych wejściowych podczas obsługi transakcji ekwipunku. Zdalny atakujący z ważną sesją gracza może zażądać upuszczenia większej liczby przedmiotów niż jest dostępnych w pasku szybkiego dostępu, co powoduje awarię serwera i odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
PocketMine-MP versions before 3.15.4 contain a denial of service vulnerability in the InventoryTransaction component's findResultItem() method. Malicious clients can send specially crafted InventoryTransactionPackets with multiple conflicting pathways to cause exponential processing complexity, freezing the server.