CVE-2022-51016
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
PocketMine-MP 3.x (przed 3.27.0) nie implementuje szyfrowania protokołu Minecraft Bedrock, więc serwer nie może zweryfikować, czy łączący się klient posiada klucz prywatny odpowiadający jego tokenowi logowania. Atakujący, który przechwyci prawidłowy login z sesji innego gracza (na przykład poprzez nakłonienie gracza do połączenia z serwerem kontrolowanym przez atakującego), może powtórzyć ten login, aby podszyć się pod ofiarę i przejść uwierzytelnianie XBOX Live, dopóki token JWT nie wygaśnie (zwykle 2-3 dni). Dotyczy to serwerów bezpośrednio dostępnych w internecie, które nie są za proxy z włączonym szyfrowaniem. Naprawiono w wersji 4.0.0 i wstecznie w 3.27.0.
Ocena ryzyka
Ryzyko przejęcia konta gracza i nieautoryzowanego dostępu do serwera, co może prowadzić do kradzieży danych lub nadużyć.
Rekomendacja
Zaleca się aktualizację PocketMine-MP do wersji 3.27.0 lub nowszej (dla PM3) oraz do wersji 4.0.0 lub nowszej (dla PM4), aby włączyć szyfrowanie protokołu i zapobiec atakom typu replay.
Inne podatności w PocketMine-MP
Zobacz wszystkie- CVE-2026-86204Średnie
PocketMine-MP przed wersją 5.39.2 nie ogranicza rozmiaru ładunku JSON w obsłudze pakietów ModalFormResponsePacket, co pozwala uwierzytelnionym graczom na spowodowanie odmowy usługi. Atakujący mogą wysyłać pakiety odpowiedzi formularza z ogromnymi tablicami JSON, wyczerpując pamięć serwera i zasoby CPU.
- CVE-2026-86203Niskie
PocketMine-MP przed wersją 5.39.2 nie waliduje stanu despawnu encji podczas przetwarzania pakietów ataku od klientów. Atakujący mogą wykorzystać wyścig, atakując rozłączającego się gracza, co prowadzi do wielokrotnego wywołania handlerów śmierci i duplikacji przedmiotów oraz doświadczenia.
- CVE-2026-86202Średnie
PocketMine-MP przed wersją 5.39.2 zawiera podatność na amplifikację sieci w obsłudze pakietów ActorEventPacket, która pozwala klientom na wywoływanie animacji konsumpcji dla wszystkich widocznych graczy. Atakujący mogą wysyłać spreparowane pakiety ActorEventPacket, aby spamować zdarzeniami animacji innych klientów i marnować zasoby CPU i pamięci serwera.
- CVE-2026-86201Wysokie
PocketMine-MP przed wersją 5.41.1 zawiera podatność na odmowę usługi w przetwarzaniu LoginPacket, gdzie duże lub złożone struktury w nieznanych właściwościach JWT clientData powodują nadmierne logowanie bez sanityzacji. Atakujący mogą wysyłać spreparowane LoginPackety z głęboko zagnieżdżonymi lub masywnymi strukturami obiektów, aby wywołać warunki braku pamięci i doprowadzić do awarii serwera.
- CVE-2026-86200Średnie
PocketMine-MP przed wersją 5.42.1 zawiera podatność na odmowę usługi w obsłudze pakietów LoginPacket, która pozwala zdalnym atakującym na zalewanie serwera komunikatami ostrzegawczymi poprzez wstrzykiwanie licznych nieznanych właściwości do JWT clientData. Atakujący mogą wysyłać złośliwe pakiety logowania z nadmierną liczbą nieznanych właściwości, marnując czas CPU serwera i obniżając wydajność.
- CVE-2026-86199Wysokie
PocketMine-MP przed wersją 5.43.1 nieprawidłowo waliduje pole Certificate podczas uwierzytelniania offline. Nieuwierzytelnieni gracze mogą wywołać błąd dostępu do niezainicjalizowanej właściwości, co powoduje awarię serwera.
- CVE-2026-86198Średnie
PocketMine-MP przed wersją 5.44.2 nie waliduje poprawnie wielu pakietów ResourcePackClientResponsePacket ze statusem STATUS_COMPLETED podczas obsługi pakietów zasobów. Złośliwi klienci mogą wysyłać serie tych pakietów, aby wielokrotnie wywoływać postęp przed spawnem, tworząc zduplikowane obiekty Player i zwiększając zużycie pamięci oraz ruch sieciowy.
- CVE-2025-71418Średnie
PocketMine-MP przed wersją 5.25.2 nie ogranicza funkcji explode() podczas parsowania pakietów, co pozwala złośliwym klientom marnować zasoby serwera. Atakujący mogą wysyłać spreparowane pakiety z nadmierną liczbą separatorów, aby zużywać CPU i pamięć poprzez edycję znaków, parsowanie JWT i parsowanie komend.
- CVE-2025-71417Średnie
PocketMine-MP przed wersją 5.32.1 nie weryfikuje unikalności UUID pakietów w obsłudze STATUS_SEND_PACKS w ResourcePackClientResponsePacket, co pozwala uwierzytelnionym klientom na wywołanie duplikatów transmisji pakietów. Atakujący mogą wysyłać wiele kopii prawidłowych UUID pakietów w jednym pakiecie, aby wyczerpać pamięć serwera i spowodować denial of service.
- CVE-2024-58381Wysokie
PocketMine-MP przed wersją 5.11.1 zawiera podatność na odmowę usługi w przetwarzaniu JSON w LoginPacket, która pozwala zdalnym atakującym na zniszczenie serwera poprzez wysyłanie nieprawidłowych danych JSON. Atakujący mogą wykorzystać nieprawidłową inicjalizację obiektów z typów skalarnych JSON, aby wywołać brak wymaganych właściwości, co powoduje awarię aplikacji.
Oryginalny opis (angielski, źródło NVD)
PocketMine-MP 3.x (before 3.27.0) does not implement Minecraft Bedrock protocol encryption, so the server cannot verify that a connecting client possesses the private key corresponding to its login token. An attacker who captures a valid login from another player's session (for example by tricking the player into connecting to an attacker-controlled server) can replay that login to impersonate the victim and pass XBOX Live authentication until the JWT token expires (typically 2-3 days). This affects servers directly reachable over the internet that are not behind a proxy with encryption enabled. Fixed in 4.0.0 and backported to 3.27.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS