Версии PocketMine-MP до 4.4.2 не могут должным образом проверить идентификаторы элементов, полученные от клиентов, в данных NBT стека элементов. Злоумышленники могут отправить идентификаторы созданных элементов за пределы допустимого диапазона, чтобы вызвать необработанное исключение, которое приводит к сбою сервера.
Показать оригинальное описание (EN)
PocketMine-MP versions before 4.4.2 fail to properly validate item IDs received from clients in itemstack NBT data. Attackers can send crafted item IDs outside the valid range to trigger an uncaught exception that crashes the server.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/pmmp/PocketMine-MP/commit/5fd685e07d61ef670584ed11a52fd5f4b9…
disclosure@vulncheck.com
https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-fqx3-r75h-vc89
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/pocketmine-mp-before-4.4.2-server-crash-vi…
disclosure@vulncheck.com