Версии PocketMine-MP до 5.44.2 не могут должным образом проверить несколько пакетов ResourcePackClientResponsePacket со статусом STATUS_COMPLETED во время обработки пакета ресурсов. Вредоносные клиенты могут отправлять пакеты этих пакетов, чтобы неоднократно запускать прогресс перед появлением, создавая дубликаты объектов Player и увеличивая потребление памяти и сетевой трафик.
Показать оригинальное описание (EN)
PocketMine-MP versions before 5.44.2 fail to properly validate multiple ResourcePackClientResponsePacket packets with STATUS_COMPLETED status during resource pack handling. Malicious clients can send batches of these packets to repeatedly trigger pre-spawn progression, creating duplicate Player objects and amplifying memory consumption and network traffic.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/pmmp/PocketMine-MP/commit/7a27894146a04964ab628ed9033140fdbf…
disclosure@vulncheck.com
https://github.com/pmmp/PocketMine-MP/security/advisories/GHSA-pg53-p7qp-65cv
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/pocketmine-mp-before-5.44.2-denial-of-serv…
disclosure@vulncheck.com