PT-2022-28247 · Unknown · Pocketmine-Mp
Publicado
2022-05-25
·
Atualizado
2022-05-25
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L |
Nome do software vulnerável e versões afetadas
Versões do PocketMine-MP anteriores àquela que contém a correção disponível em https://github.com/pmmp/PocketMine-MP/commit/df33e179e5d3ff13b56a2d7060bf592b0f797258
Descrição
O problema decorre da forma como o PocketMine-MP lida com blocos de mensagens de chat recebidas. Por motivos históricos, essas mensagens são divididas por
, e cada parte é tratada como uma mensagem separada. No entanto, o comprimento total da mensagem não é verificado, o que leva a um problema de desempenho. Um cliente mal-intencionado pode enviar um grande pacote de chat contendo inúmeros caracteres de nova linha , fazendo com que o servidor analise isso como uma grande matriz e gaste um tempo significativo iterando sobre ela. Além disso, a falta de verificações suficientes de limite de taxa permite que clientes maliciosos bombardeiem o servidor com muitas mensagens maliciosas, causando travamentos por um período significativo de tempo.Recomendações
Para versões anteriores à correção, considere lidar com
DataPacketReceiveEvent e verificar se há quebras de linha excessivas no TextPacket recebido como uma solução temporária para mitigar o problema.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade, além do commit mencionado, o que implica atualizar para uma versão que inclua a correção em https://github.com/pmmp/PocketMine-MP/commit/df33e179e5d3ff13b56a2d7060bf592b0f797258.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Pocketmine-Mp