Podatności PocketMine-MP

PocketMine-MP przed wersją 5.39.2 nie ogranicza rozmiaru ładunku JSON w obsłudze pakietów ModalFormResponsePacket, co pozwala uwierzytelnionym graczom na spowodowanie odmowy usługi. Atakujący mogą wysyłać pakiety odpowiedzi formularza z ogromnymi tablicami JSON, wyczerpując pamięć serwera i zasoby CPU.

PocketMine-MP przed wersją 5.39.2 nie waliduje stanu despawnu encji podczas przetwarzania pakietów ataku od klientów. Atakujący mogą wykorzystać wyścig, atakując rozłączającego się gracza, co prowadzi do wielokrotnego wywołania handlerów śmierci i duplikacji przedmiotów oraz doświadczenia.

PocketMine-MP przed wersją 5.39.2 zawiera podatność na amplifikację sieci w obsłudze pakietów ActorEventPacket, która pozwala klientom na wywoływanie animacji konsumpcji dla wszystkich widocznych graczy. Atakujący mogą wysyłać spreparowane pakiety ActorEventPacket, aby spamować zdarzeniami animacji innych klientów i marnować zasoby CPU i pamięci serwera.

PocketMine-MP przed wersją 5.41.1 zawiera podatność na odmowę usługi w przetwarzaniu LoginPacket, gdzie duże lub złożone struktury w nieznanych właściwościach JWT clientData powodują nadmierne logowanie bez sanityzacji. Atakujący mogą wysyłać spreparowane LoginPackety z głęboko zagnieżdżonymi lub masywnymi strukturami obiektów, aby wywołać warunki braku pamięci i doprowadzić do awarii serwera.

PocketMine-MP przed wersją 5.42.1 zawiera podatność na odmowę usługi w obsłudze pakietów LoginPacket, która pozwala zdalnym atakującym na zalewanie serwera komunikatami ostrzegawczymi poprzez wstrzykiwanie licznych nieznanych właściwości do JWT clientData. Atakujący mogą wysyłać złośliwe pakiety logowania z nadmierną liczbą nieznanych właściwości, marnując czas CPU serwera i obniżając wydajność.

PocketMine-MP przed wersją 5.43.1 nieprawidłowo waliduje pole Certificate podczas uwierzytelniania offline. Nieuwierzytelnieni gracze mogą wywołać błąd dostępu do niezainicjalizowanej właściwości, co powoduje awarię serwera.

PocketMine-MP przed wersją 5.44.2 nie waliduje poprawnie wielu pakietów ResourcePackClientResponsePacket ze statusem STATUS_COMPLETED podczas obsługi pakietów zasobów. Złośliwi klienci mogą wysyłać serie tych pakietów, aby wielokrotnie wywoływać postęp przed spawnem, tworząc zduplikowane obiekty Player i zwiększając zużycie pamięci oraz ruch sieciowy.

PocketMine-MP przed wersją 5.25.2 nie ogranicza funkcji explode() podczas parsowania pakietów, co pozwala złośliwym klientom marnować zasoby serwera. Atakujący mogą wysyłać spreparowane pakiety z nadmierną liczbą separatorów, aby zużywać CPU i pamięć poprzez edycję znaków, parsowanie JWT i parsowanie komend.

PocketMine-MP przed wersją 5.32.1 nie weryfikuje unikalności UUID pakietów w obsłudze STATUS_SEND_PACKS w ResourcePackClientResponsePacket, co pozwala uwierzytelnionym klientom na wywołanie duplikatów transmisji pakietów. Atakujący mogą wysyłać wiele kopii prawidłowych UUID pakietów w jednym pakiecie, aby wyczerpać pamięć serwera i spowodować denial of service.

PocketMine-MP przed wersją 5.11.1 zawiera podatność na odmowę usługi w przetwarzaniu JSON w LoginPacket, która pozwala zdalnym atakującym na zniszczenie serwera poprzez wysyłanie nieprawidłowych danych JSON. Atakujący mogą wykorzystać nieprawidłową inicjalizację obiektów z typów skalarnych JSON, aby wywołać brak wymaganych właściwości, co powoduje awarię aplikacji.

PocketMine-MP przed wersją 5.11.2 zawiera podatność na odmowę usługi w obsłudze pakietu BookEditPacket, która powoduje awarię serwera przy podaniu nieprawidłowej wartości slotu w ekwipunku. Atakujący może wysłać spreparowany pakiet BookEditPacket ze slotem większym niż 35, aby wywołać nieobsłużony wyjątek i doprowadzić do awarii serwera.

PocketMine-MP przed wersją 4.8.1 nie waliduje identyfikatorów kolorów barwnika w danych NBT banerów podczas deserializacji. Atakujący może dostarczyć nieprawidłowe wartości kolorów w transakcjach ekwipunku lub przez komendy, aby wywołać błędy niezdefiniowanego przesunięcia i doprowadzić do awarii serwera.

PocketMine-MP przed wersją 4.12.5 zawiera podatność na odmowę usługi w przetwarzaniu pakietów ModalFormResponsePacket, która pozwala atakującym na wyczerpanie zasobów serwera poprzez wysyłanie dużych ładunków JSON. Atakujący mogą wysyłać liczne przerośnięte pakiety odpowiedzi formularza, aby zużyć czas procesora i uniemożliwić serwerowi obsługę prawidłowych połączeń.

PocketMine-MP przed wersją 4.18.0-ALPHA2 nie ogranicza częstości żądań pakietów InventoryTransactionPacket z niezgodnością typu, co pozwala atakującym na wywołanie nadmiernej synchronizacji ekwipunku. Atakujący mogą wysyłać liczne transakcje z niezgodnością, aby zmusić serwer do przesyłania dużych ilości zserializowanych danych ekwipunku, zużywając znaczną przepustowość bez uwierzytelnienia.

PocketMine-MP przed wersją 4.20.5 zawiera podatność na odmowę usługi w parsowaniu JSON w LoginPacket z powodu nieprawidłowej walidacji w zależności JsonMapper. Atakujący mogą wysyłać nieprawidłowe struktury JSON w LoginPacket, aby zniszczyć serwer.

PocketMine-MP w wersjach od 4.20.0 do 4.22.3 (oraz w gałęzi 5.x przed 5.2.1) nie waliduje typów tagów NBT w pakietach BlockActorDataPacket. Gracz może doprowadzić do awarii serwera, wysyłając pakiet zawierający dane NBT znaku z nieprawidłowym typem tagu, co wywołuje nieobsłużony wyjątek UnexpectedTagTypeException i kończy proces serwera.

PocketMine-MP przed wersjami 5.3.1 i 4.23.1 zawiera podatność na odmowę usługi w parsowaniu JSON w LoginPacket z powodu nieprawidłowej obsługi wartości null w tablicach. Atakujący mogą wysyłać nieprawidłowe JSON z nieoczekiwanymi elementami null w LoginPacket, aby zniszczyć serwer.

PocketMine-MP przed wersjami 5.3.1 i 4.23.1 nie weryfikuje, czy identityPublicKey w LoginPacket używa wymaganej krzywej eliptycznej secp384r1. Atakujący mogą dostarczyć LoginPackets z kluczami używającymi innych krzywych lub nie-EC typów kluczy, aby przejść weryfikację logowania, ale wywołać nieobsłużony wyjątek podczas wyprowadzania klucza ECDH, co powoduje awarię serwera.

PocketMine-MP przed wersją 3.26.5 oraz w wersjach 4.0.x przed 4.0.5 nie ogranicza długości tekstu strony książki, liczby stron ani długości autora/tytułu. Gracz, który zdobędzie książkę do pisania, może stworzyć nadmiernie duże NBT (tzw. 'book bombs'), powodując nadmierne zużycie pasma i awarie serwera (przekroczenie limitu 1 MB dla rozmiaru chunku przy zapisie światów opartych na regionach w PM3 lub przekroczenie limitu 32 KiB dla TAG_String w PM4).

PocketMine-MP przed wersjami 3.26.5 i 4.0.5 nie waliduje długości pól danych skóry przesyłanych przez graczy, co pozwala na przekroczenie limitu 32767 bajtów dla TAG_String. Atakujący może wysłać zbyt duże pola, takie jak skinID lub geometryName, co powoduje wyjątki podczas serializacji NBT i prowadzi do awarii serwera.

PocketMine-MP 3.x (przed 3.27.0) nie implementuje szyfrowania protokołu Minecraft Bedrock, więc serwer nie może zweryfikować, czy łączący się klient posiada klucz prywatny odpowiadający jego tokenowi logowania. Atakujący, który przechwyci prawidłowy login z sesji innego gracza (na przykład poprzez nakłonienie gracza do połączenia z serwerem kontrolowanym przez atakującego), może powtórzyć ten login, aby podszyć się pod ofiarę i przejść uwierzytelnianie XBOX Live, dopóki token JWT nie wygaśnie (zwykle 2-3 dni). Dotyczy to serwerów bezpośrednio dostępnych w internecie, które nie są za proxy z włączonym szyfrowaniem. Naprawiono w wersji 4.0.0 i wstecznie w 3.27.0.

PocketMine-MP przed wersją 4.0.6 nie waliduje wartości 'facing' w pakietach PlayerActionPacket (dla akcji START_BREAK i CRACK_BREAK) ani w UseItemTransactionData (zazwyczaj w InventoryTransactionPacket). Zdalny uwierzytelniony atakujący może wysyłać spreparowane pakiety z nieprawidłowymi wartościami 'facing' (np. ujemnymi lub spoza zakresu), aby doprowadzić do awarii serwera, co skutkuje odmową usługi.

PocketMine-MP przed wersją 4.0.7 zawiera podatność nieobsłużonego wyjątku w obsłudze pakietu ModalFormResponsePacket podczas przetwarzania nieprawidłowego JSON od klientów. Atakujący mogą wysyłać specjalnie spreparowane pakiety odpowiedzi formularza z nieprawidłowym JSON, aby wywołać nieprzechwycony wyjątek InvalidArgumentException, powodując awarie serwera.

PocketMine-MP przed wersją 4.2.3 nie waliduje wartości metadanych uszkodzeń w danych NBT narzędzi i zbroi otrzymywanych od klientów. Atakujący mogą wysyłać ujemne lub spoza zakresu wartości uszkodzeń w NBT przedmiotów, aby wywołać nieobsłużone wyjątki w klasie Durable, powodując awarie serwera.

PocketMine-MP przed wersją 4.2.9 nie waliduje poprawnie typów danych NBT podczas deserializacji pakietów transakcji ekwipunku od klientów. Atakujący mogą wysyłać spreparowane transakcje ekwipunku z nieprawidłowymi tagami NBT, aby wywołać awarie serwera i spowodować odmowę usługi.

PocketMine-MP przed wersją 4.2.10 nie waliduje całkowitej długości przychodzących wiadomości czatu przed podzieleniem ich na znaki nowej linii, co pozwala atakującym wysyłać duże wiadomości zawierające wiele znaków nowej linii. Złośliwi klienci mogą wysyłać pakiety czatu o rozmiarze megabajtów i bombardować serwer tysiącami takich wiadomości, powodując zawieszenie serwera na sekundy lub minuty.

PocketMine-MP przed wersją 4.4.2 nieprawidłowo waliduje identyfikatory przedmiotów otrzymywane od klientów w danych NBT itemstack. Atakujący mogą wysłać spreparowane identyfikatory przedmiotów spoza dozwolonego zakresu, aby wywołać nieobsłużony wyjątek, który powoduje awarię serwera.

PocketMine-MP przed wersją 4.7.2 nieprawidłowo obsługuje wyjątki z biblioteki adhocore/json-comment podczas parsowania danych geometrii skóry. Atakujący mogą wysłać pakiety logowania lub skóry z nieprawidłowym JSON geometrii, co wywołuje nieobsłużony wyjątek RuntimeException i powoduje awarię serwera.

PocketMine-MP przed wersją 4.12.3 nie ogranicza nieuwierzytelnionych sesji, co pozwala atakującym na wyczerpanie slotów graczy poprzez tworzenie sesji bez wysyłania LoginPacket. Atakujący mogą zalać serwer nieuwierzytelnionymi połączeniami, które zajmują sloty maksymalnej liczby graczy, uniemożliwiając prawdziwym graczom dołączenie.

Wersje PocketMine-MP przed 3.18.1 nie walidują wartości NaN lub INF w polach pozycji i rotacji w MovePlayerPacket. Złośliwi klienci mogą wysyłać spreparowane pakiety ruchu z nieprawidłowymi wartościami zmiennoprzecinkowymi, aby doprowadzić do awarii serwera poprzez nieobsłużone operacje matematyczne lub uniemożliwić klientom renderowanie innych graczy.

PocketMine-MP przed wersją 4.0.3 nie wykonuje dopasowania bez uwzględniania wielkości liter podczas usuwania wpisów operatora z ops.txt. Funkcja removeOp zamienia podaną nazwę na małe litery, ale usuwa tylko dokładnie pasujący wpis, więc nazwa operatora zapisana z nie-małymi literami nie może zostać cofnięta za pomocą komendy deop, pozostawiając gracza jako operatora, dopóki wpis nie zostanie usunięty ręcznie z ops.txt.

Wersje PocketMine-MP przed 3.15.4 zawierają podatność na odmowę usługi w metodzie findResultItem() komponentu InventoryTransaction. Złośliwi klienci mogą wysyłać specjalnie spreparowane InventoryTransactionPackets z wieloma sprzecznymi ścieżkami, co powoduje wykładniczą złożoność przetwarzania i zamraża serwer.

Podatność w PocketMine-MP przed wersją 4.18.1 wynika z nieprawidłowej walidacji danych wejściowych podczas obsługi transakcji ekwipunku. Zdalny atakujący z ważną sesją gracza może zażądać upuszczenia większej liczby przedmiotów niż jest dostępnych w pasku szybkiego dostępu, co powoduje awarię serwera i odmowę usługi.