Версии PocketMine-MP >= 4.20.0 до 4.22.3 (и до 5.2.1 в ветке 5.x) не могут проверить типы тегов NBT в BlockActorDataPacket. Игрок может привести к сбою сервера, отправив пакет, содержащий данные знака NBT с неверным типом тега, что вызовет необработанное исключение UnexpectedTagTypeException, которое завершит серверный процесс.
Показать оригинальное описание (EN)
PocketMine-MP versions >= 4.20.0 before 4.22.3 (and before 5.2.1 in the 5.x branch) fail to validate NBT tag types in BlockActorDataPacket. A player can crash the server by sending a packet containing sign NBT data with an incorrect tag type, triggering an unhandled UnexpectedTagTypeException that terminates the server process.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/pmmp/PocketMine-MP/commit/0c250a2ef09627b48aa52302f6cc7e1f2a…
disclosure@vulncheck.com
https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-7wrv-6h42-w54f
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/pocketmine-mp-before-4.22.3-denial-of-serv…
disclosure@vulncheck.com