Версии PocketMine-MP до 4.2.9 не могут должным образом проверить типы данных NBT во время десериализации пакетов транзакций инвентаризации от клиентов. Злоумышленники могут отправлять созданные транзакции инвентаризации с неверными тегами NBT, чтобы вызвать сбой сервера и отказ в обслуживании.
Показать оригинальное описание (EN)
PocketMine-MP versions before 4.2.9 fail to properly validate NBT data types during deserialization of inventory transaction packets from clients. Attackers can send crafted inventory transactions with malformed NBT tags to trigger server crashes and cause denial of service.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/pmmp/PocketMine-MP/commit/5a98b08ee8dc8ff14862cd83d2e4af9d21…
disclosure@vulncheck.com
https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-g5rr-p69h-7v3g
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/pocketmine-mp-before-4.2.9-denial-of-servi…
disclosure@vulncheck.com