CVE-2021-48006

PocketMine-MP przed wersją 5.39.2 nie ogranicza rozmiaru ładunku JSON w obsłudze pakietów ModalFormResponsePacket, co pozwala uwierzytelnionym graczom na spowodowanie odmowy usługi. Atakujący mogą wysyłać pakiety odpowiedzi formularza z ogromnymi tablicami JSON, wyczerpując pamięć serwera i zasoby CPU.

PocketMine-MP przed wersją 5.39.2 nie waliduje stanu despawnu encji podczas przetwarzania pakietów ataku od klientów. Atakujący mogą wykorzystać wyścig, atakując rozłączającego się gracza, co prowadzi do wielokrotnego wywołania handlerów śmierci i duplikacji przedmiotów oraz doświadczenia.

PocketMine-MP przed wersją 5.39.2 zawiera podatność na amplifikację sieci w obsłudze pakietów ActorEventPacket, która pozwala klientom na wywoływanie animacji konsumpcji dla wszystkich widocznych graczy. Atakujący mogą wysyłać spreparowane pakiety ActorEventPacket, aby spamować zdarzeniami animacji innych klientów i marnować zasoby CPU i pamięci serwera.

PocketMine-MP przed wersją 5.41.1 zawiera podatność na odmowę usługi w przetwarzaniu LoginPacket, gdzie duże lub złożone struktury w nieznanych właściwościach JWT clientData powodują nadmierne logowanie bez sanityzacji. Atakujący mogą wysyłać spreparowane LoginPackety z głęboko zagnieżdżonymi lub masywnymi strukturami obiektów, aby wywołać warunki braku pamięci i doprowadzić do awarii serwera.

PocketMine-MP przed wersją 5.42.1 zawiera podatność na odmowę usługi w obsłudze pakietów LoginPacket, która pozwala zdalnym atakującym na zalewanie serwera komunikatami ostrzegawczymi poprzez wstrzykiwanie licznych nieznanych właściwości do JWT clientData. Atakujący mogą wysyłać złośliwe pakiety logowania z nadmierną liczbą nieznanych właściwości, marnując czas CPU serwera i obniżając wydajność.

PocketMine-MP przed wersją 5.43.1 nieprawidłowo waliduje pole Certificate podczas uwierzytelniania offline. Nieuwierzytelnieni gracze mogą wywołać błąd dostępu do niezainicjalizowanej właściwości, co powoduje awarię serwera.

PocketMine-MP przed wersją 5.44.2 nie waliduje poprawnie wielu pakietów ResourcePackClientResponsePacket ze statusem STATUS_COMPLETED podczas obsługi pakietów zasobów. Złośliwi klienci mogą wysyłać serie tych pakietów, aby wielokrotnie wywoływać postęp przed spawnem, tworząc zduplikowane obiekty Player i zwiększając zużycie pamięci oraz ruch sieciowy.

PocketMine-MP przed wersją 5.25.2 nie ogranicza funkcji explode() podczas parsowania pakietów, co pozwala złośliwym klientom marnować zasoby serwera. Atakujący mogą wysyłać spreparowane pakiety z nadmierną liczbą separatorów, aby zużywać CPU i pamięć poprzez edycję znaków, parsowanie JWT i parsowanie komend.

PocketMine-MP przed wersją 5.32.1 nie weryfikuje unikalności UUID pakietów w obsłudze STATUS_SEND_PACKS w ResourcePackClientResponsePacket, co pozwala uwierzytelnionym klientom na wywołanie duplikatów transmisji pakietów. Atakujący mogą wysyłać wiele kopii prawidłowych UUID pakietów w jednym pakiecie, aby wyczerpać pamięć serwera i spowodować denial of service.

PocketMine-MP przed wersją 5.11.1 zawiera podatność na odmowę usługi w przetwarzaniu JSON w LoginPacket, która pozwala zdalnym atakującym na zniszczenie serwera poprzez wysyłanie nieprawidłowych danych JSON. Atakujący mogą wykorzystać nieprawidłową inicjalizację obiektów z typów skalarnych JSON, aby wywołać brak wymaganych właściwości, co powoduje awarię aplikacji.