CVE-2021-48006
NiskieCVSS 3.3Streszczenie
PocketMine-MP przed wersją 4.0.3 nie wykonuje dopasowania bez uwzględniania wielkości liter podczas usuwania wpisów operatora z ops.txt. Funkcja removeOp zamienia podaną nazwę na małe litery, ale usuwa tylko dokładnie pasujący wpis, więc nazwa operatora zapisana z nie-małymi literami nie może zostać cofnięta za pomocą komendy deop, pozostawiając gracza jako operatora, dopóki wpis nie zostanie usunięty ręcznie z ops.txt.
Ocena ryzyka
Ryzyko polega na tym, że nieautoryzowany operator może pozostać z uprawnieniami operatora, co może prowadzić do nadużyć, takich jak zmiany w konfiguracji serwera lub eskalacja uprawnień.
Rekomendacja
Zaleca się aktualizację PocketMine-MP do wersji 4.0.3 lub nowszej, która zawiera poprawkę uwzględniającą wielkość liter przy usuwaniu operatorów.
Inne podatności w PocketMine-MP
Zobacz wszystkie- CVE-2022-51009Wysokie
PocketMine-MP przed wersją 4.7.2 nieprawidłowo obsługuje wyjątki z biblioteki adhocore/json-comment podczas parsowania danych geometrii skóry. Atakujący mogą wysłać pakiety logowania lub skóry z nieprawidłowym JSON geometrii, co wywołuje nieobsłużony wyjątek RuntimeException i powoduje awarię serwera.
- CVE-2022-51008Średnie
PocketMine-MP przed wersją 4.12.3 nie ogranicza nieuwierzytelnionych sesji, co pozwala atakującym na wyczerpanie slotów graczy poprzez tworzenie sesji bez wysyłania LoginPacket. Atakujący mogą zalać serwer nieuwierzytelnionymi połączeniami, które zajmują sloty maksymalnej liczby graczy, uniemożliwiając prawdziwym graczom dołączenie.
- CVE-2021-48007Średnie
Wersje PocketMine-MP przed 3.18.1 nie walidują wartości NaN lub INF w polach pozycji i rotacji w MovePlayerPacket. Złośliwi klienci mogą wysyłać spreparowane pakiety ruchu z nieprawidłowymi wartościami zmiennoprzecinkowymi, aby doprowadzić do awarii serwera poprzez nieobsłużone operacje matematyczne lub uniemożliwić klientom renderowanie innych graczy.
- CVE-2020-37277Średnie
Wersje PocketMine-MP przed 3.15.4 zawierają podatność na odmowę usługi w metodzie findResultItem() komponentu InventoryTransaction. Złośliwi klienci mogą wysyłać specjalnie spreparowane InventoryTransactionPackets z wieloma sprzecznymi ścieżkami, co powoduje wykładniczą złożoność przetwarzania i zamraża serwer.
- CVE-2023-7332Wysokie
Podatność w PocketMine-MP przed wersją 4.18.1 wynika z nieprawidłowej walidacji danych wejściowych podczas obsługi transakcji ekwipunku. Zdalny atakujący z ważną sesją gracza może zażądać upuszczenia większej liczby przedmiotów niż jest dostępnych w pasku szybkiego dostępu, co powoduje awarię serwera i odmowę usługi.
Oryginalny opis (angielski, źródło NVD)
PocketMine-MP before 4.0.3 does not perform case-insensitive matching when removing operator entries from ops.txt. The removeOp function lowercases the supplied name but only removes an exactly matching entry, so an operator name stored with non-lowercase letters cannot be revoked using the deop command, leaving the player as an operator until the entry is removed from ops.txt manually.