Версии PocketMine-MP до 4.8.1 не могут проверить идентификаторы цветов красителей в данных NBT баннера во время десериализации. Злоумышленники могут указать неверные значения цвета в транзакциях инвентаризации или с помощью команд, чтобы вызвать неопределенные ошибки смещения и привести к сбою сервера.
Показать оригинальное описание (EN)
PocketMine-MP versions before 4.8.1 fail to validate dye color IDs in banner NBT data during deserialization. Attackers can provide invalid color values in inventory transactions or via commands to trigger undefined offset errors and crash the server.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/pmmp/PocketMine-MP/commit/08b9495bce2d65a6d1d3eeb76e484499a0…
disclosure@vulncheck.com
https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-wqqv-jcfr-9f5g
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/pocketmine-mp-before-4.8.1-server-crash-vi…
disclosure@vulncheck.com