Dktapps

Ocorre uma validação inadequada de múltiplos pacotes `ResourcePackClientResponsePacket` com o status `STATUS COMPLETED` durante o processamento de pacotes de recursos. Isso permite que clientes mal-intencionados enviem lotes desses pacotes para disparar repetidamente a progressão de pré-spawn, resultando na criação de objetos Player duplicados e no aumento do consumo de memória e do tráfego de rede.

Existe um problema durante a autenticação de login offline onde o software falha ao validar adequadamente o campo Certificate. Jogadores não autenticados podem explorar isso para disparar um erro de acesso a propriedade não inicializada, o que resulta no travamento do servidor.

Um problema de negação de serviço existe no manipulador `LoginPacket`. Atacantes remotos podem injetar inúmeras propriedades irrelevantes no JWT (JSON Web Token) `clientData`, que é um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes. Isso ocorre porque a instância `JsonMapper` usada para processar o corpo do JWT está configurada para emitir avisos sobre propriedades inesperadas em vez de rejeitá-las. Ao criar pacotes de login maliciosos com propriedades desconhecidas excessivas, um invasor pode fazer com que o servidor inunde mensagens de aviso e desperdice tempo de CPU, levando à degradação do desempenho.

Jogadores autenticados podem causar a negação de serviço ao enviar pacotes `ModalFormResponsePacket` contendo arrays JSON massivos. O servidor falha ao limitar o tamanho da carga útil JSON, permitindo que um invasor esgote os recursos de CPU e memória, tornando o servidor inoperante. Isso ocorre quando o servidor processa a variável `formData`, especialmente se o `formId` fornecido não corresponder a um formulário ativo.

Um problema de negação de serviço existe no processamento do `LoginPacket`, onde estruturas grandes ou complexas em propriedades JWT de `clientData` desconhecidas causam logs excessivos sem sanitização. Atacantes podem enviar mensagens `LoginPacket` manipuladas contendo estruturas de objetos profundamente aninhadas ou massivas para desencadear condições de falta de memória (out-of-memory), desperdiçar tempo de CPU durante a serialização ou inundar o console, potencialmente travando o servidor. Isso ocorre porque a instância `JsonMapper` usada para processar o corpo do JWT é configurada para alertar sobre propriedades inesperadas em vez de rejeitá-las, e a função `warnUndefinedJsonPropertyHandler` tenta exportar o objeto malicioso sem limitações de comprimento.

Um problema de amplificação de rede existe no processamento do `ActorEventPacket`. Isso permite que um cliente acione animações de consumo para todos os jogadores visíveis ao enviar mensagens `ActorEventPacket` manipuladas. Esse comportamento pode ser abusado para enviar spam de eventos de animação para outros clientes, levando ao esgotamento dos recursos de CPU e memória do servidor.

O software falha ao validar o estado de despawn de uma entidade ao processar pacotes de ataque de clientes. Quando uma entidade ou jogador é marcado para despawn (como durante uma sequência de desconexão), ele permanece acessível na tabela de entidades do `World`. Ocorre uma condição de corrida quando um cliente envia um pacote de ataque no exato momento em que uma entidade está se desconectando, permitindo que o manipulador de morte seja executado múltiplas vezes. Isso resulta na duplicação de experiência e itens de inventário, pois eles são derrubados várias vezes enquanto os itens originais permanecem com o jogador que está se desconectando.

Existe um problema no processamento de `STATUS SEND PACKS` dentro do `ResourcePackClientResponsePacket` onde o software falha ao validar a unicidade dos UUIDs de pacotes. Um cliente autenticado utilizando um cliente Bedrock não padrão pode enviar um pacote contendo múltiplos UUIDs de pacotes válidos duplicados no array `packIds`. Isso faz com que o servidor processe e envie o mesmo pacote de recursos várias vezes, levando ao esgotamento rápido da memória e a uma consequente negação de serviço que pode travar ou derrubar o servidor.

Um problema de negação de serviço existe no processamento de dados JSON dentro do `LoginPacket`. Atacantes remotos podem derrubar o servidor enviando dados JSON malformados. A falha originam-se no componente `netresearch/jsonmapper`, que permite que objetos sejam hidratados a partir de tipos escalares de JSON. Devido à falta de validação, isso pode resultar em objetos inicializados incorretamente onde propriedades obrigatórias não são definidas, levando ao travamento da aplicação quando o código tenta acessar essas propriedades. Este comportamento ocorre mesmo se o `bStrictObjectTypes` estiver desativado, pois o componente não respeita essa configuração ao processar arrays.

A falha na validação de que a `identityPublicKey` no `LoginPacket` utiliza a curva elíptica `secp384r1` exigida permite que atacantes ignorem a verificação de login. Ao fornecer chaves usando curvas diferentes ou tipos de chave não-EC, um atacante pode disparar uma exceção não capturada durante a derivação de chave ECDH (Elliptic Curve Diffie-Hellman), que é um método usado para calcular um segredo compartilhado para criptografia simétrica. Isso resulta no travamento do servidor.

Um problema de negação de serviço existe na análise de JSON do `LoginPacket` devido ao manuseio inadequado de valores nulos em arrays. O mapeador de JSON aceita valores do tipo nulo em arrays tipados, o que o software não espera. Um invasor pode enviar um JSON malformado contendo elementos nulos inesperados no `LoginPacket` para derrubar o servidor.

A falha na validação dos tipos de tag NBT no `BlockActorDataPacket` permite que um jogador cause a queda do servidor. Ao enviar um pacote contendo dados NBT de placa com um tipo de tag incorreto, é disparada uma `UnexpectedTagTypeException` não tratada, que encerra o processo do servidor. Isso ocorre quando o servidor espera um `CompoundTag`, mas recebe um tipo diferente, como um `ByteTag`, especificamente na variável `FrontText`.

Um problema de negação de serviço ocorre durante a análise de JSON no `LoginPacket` devido a uma validação inadequada na dependência `JsonMapper`. A biblioteca não realiza verificações adequadas ao mapear arrays e objetos JSON em propriedades de modelo escalares, como strings. Um invasor pode explorar isso enviando estruturas JSON malformadas no `LoginPacket` para derrubar o servidor.

O software falha ao limitar a taxa de solicitações `InventoryTransactionPacket` do tipo mismatch. Isso permite que um invasor não autenticado desencadeie uma sincronização excessiva de inventário ao enviar inúmeras transações de mismatch, forçando o servidor a transmitir grandes quantidades de dados de inventário serializados. Esse processo atua como um multiplicador de largura de banda, consumindo largura de banda significativa do servidor, especialmente ao lidar com grandes quantidades de NBT (Named Binary Tag), que é um formato de dados estruturados usado para armazenar propriedades de itens.