CVE-2023-7332
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w PocketMine-MP przed wersją 4.18.1 wynika z nieprawidłowej walidacji danych wejściowych podczas obsługi transakcji ekwipunku. Zdalny atakujący z ważną sesją gracza może zażądać upuszczenia większej liczby przedmiotów niż jest dostępnych w pasku szybkiego dostępu, co powoduje awarię serwera i odmowę usługi.
Ocena ryzyka
Ryzyko polega na możliwości łatwego przeprowadzenia ataku DoS przez dowolnego gracza, co może prowadzić do przerw w działaniu serwera i utraty dostępności usługi dla innych użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację PocketMine-MP do wersji 4.18.1 lub nowszej, która zawiera poprawkę usuwającą tę podatność.
Inne podatności w PocketMine-MP
Zobacz wszystkie- CVE-2022-51009Wysokie
PocketMine-MP przed wersją 4.7.2 nieprawidłowo obsługuje wyjątki z biblioteki adhocore/json-comment podczas parsowania danych geometrii skóry. Atakujący mogą wysłać pakiety logowania lub skóry z nieprawidłowym JSON geometrii, co wywołuje nieobsłużony wyjątek RuntimeException i powoduje awarię serwera.
- CVE-2022-51008Średnie
PocketMine-MP przed wersją 4.12.3 nie ogranicza nieuwierzytelnionych sesji, co pozwala atakującym na wyczerpanie slotów graczy poprzez tworzenie sesji bez wysyłania LoginPacket. Atakujący mogą zalać serwer nieuwierzytelnionymi połączeniami, które zajmują sloty maksymalnej liczby graczy, uniemożliwiając prawdziwym graczom dołączenie.
- CVE-2021-48007Średnie
Wersje PocketMine-MP przed 3.18.1 nie walidują wartości NaN lub INF w polach pozycji i rotacji w MovePlayerPacket. Złośliwi klienci mogą wysyłać spreparowane pakiety ruchu z nieprawidłowymi wartościami zmiennoprzecinkowymi, aby doprowadzić do awarii serwera poprzez nieobsłużone operacje matematyczne lub uniemożliwić klientom renderowanie innych graczy.
- CVE-2021-48006Niskie
PocketMine-MP przed wersją 4.0.3 nie wykonuje dopasowania bez uwzględniania wielkości liter podczas usuwania wpisów operatora z ops.txt. Funkcja removeOp zamienia podaną nazwę na małe litery, ale usuwa tylko dokładnie pasujący wpis, więc nazwa operatora zapisana z nie-małymi literami nie może zostać cofnięta za pomocą komendy deop, pozostawiając gracza jako operatora, dopóki wpis nie zostanie usunięty ręcznie z ops.txt.
- CVE-2020-37277Średnie
Wersje PocketMine-MP przed 3.15.4 zawierają podatność na odmowę usługi w metodzie findResultItem() komponentu InventoryTransaction. Złośliwi klienci mogą wysyłać specjalnie spreparowane InventoryTransactionPackets z wieloma sprzecznymi ścieżkami, co powoduje wykładniczą złożoność przetwarzania i zamraża serwer.
Oryginalny opis (angielski, źródło NVD)
PocketMine-MP versions prior to 4.18.1 contain an improper input validation vulnerability in inventory transaction handling. A remote attacker with a valid player session can request that the server drop more items than are available in the player's hotbar, triggering a server crash and resulting in denial of service.