PT-2024-40314 · Unknown · Netresearch/Jsonmapper+1
Publicado
2024-03-06
·
Atualizado
2024-03-06
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
PocketMine-MP (versões afetadas não especificadas)
netresearch/jsonmapper (versões afetadas não especificadas)
Descrição
A vulnerabilidade permite que um invasor cause uma falha no PocketMine-MP enviando JSON malformado no LoginPacket. Isso se deve à falta de validação no código do netresearch/jsonmapper, que pode gerar objetos inicializados incorretamente. Esses objetos podem causar uma falha no código que os processa no PocketMine-MP, pois as propriedades
@required não estão definidas nos objetos. O JsonMapper não respeita bStrictObjectTypes ao processar matrizes, tornando impossível evitar o problema desativando o recurso.Recomendações
Para o PocketMine-MP, atualize o netresearch/ jsonmapper para a versão com a correção (pmmp/netresearch-jsonmapper@b96a209f9e8b76b899a0d0918493cd87eb3c02a7 e 6872661fd03649cc7a8762c41c16e9ee5a4de1c9).
Como solução alternativa temporária, considere restringir a entrada de JSON malformado no LoginPacket para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente do PocketMine-MP que contenha uma correção para essa vulnerabilidade.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Pocketmine-Mp
Netresearch/Jsonmapper