PT-2022-28232 · Unknown · Pocketmine-Mp
Publicado
2022-01-06
·
Atualizado
2022-01-06
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
PocketMine-MP (versões afetadas não especificadas)
Descrição
O problema decorre de campos de dados de skins sem limite de tamanho, como
skinID e geometryName, que são salvos nos dados NBT de um jogador. Esses campos têm um limite de 32.767 bytes devido ao limite do TAG String. Se algum desses campos exceder esse limite, uma exceção é lançada durante o salvamento dos dados, causando a falha do servidor. Outros campos, como skinGeometryData, têm um limite maior e não representam um problema devido ao limite de tamanho do pacote descompactado.Recomendações
Para as versões afetadas, considere usar um plugin para verificar as skins dos jogadores durante o
PlayerLoginEvent e o PlayerSkinChangeEvent, a fim de garantir que os campos problemáticos não tenham mais de 32.767 bytes.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Pocketmine-Mp