Версии PocketMine-MP до 5.3.1 и 4.23.1 содержат уязвимость отказа в обслуживании при анализе JSON LoginPacket из-за неправильной обработки нулевых значений в массивах. Злоумышленники могут отправить неверный формат JSON с неожиданными нулевыми элементами в LoginPacket, что приведет к сбою сервера.
Показать оригинальное описание (EN)
PocketMine-MP versions before 5.3.1 and 4.23.1 contain a denial of service vulnerability in LoginPacket JSON parsing due to improper null value handling in arrays. Attackers can send malformed JSON with unexpected null elements in LoginPacket to crash the server.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/pmmp/PocketMine-MP/commit/4f90e8dab1c9df331fad7d3d89823404e8…
disclosure@vulncheck.com
https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-92jh-gwch-jq38
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/pocketmine-mp-before-5.3.1-denial-of-servi…
disclosure@vulncheck.com