CVE-2022-51018

Nome do Software Vulnerável e Versões Afetadas PocketMine-MP versões anteriores a 3.26.5 PocketMine-MP versões 4.0.x anteriores a 4.0.5

Description O software não limita o comprimento do texto das páginas do livro, a contagem total de páginas ou o comprimento dos campos de autor e título. Um invasor com um livro editável pode criar dados NBT (Named Binary Tag) superdimensionados, conhecidos como book bombs. Isso leva ao consumo excessivo de largura de banda e travamentos do servidor. Na versão 3, os travamentos ocorrem ao salvar mundos baseados em regiões devido ao excesso do limite de tamanho de chunk de 1 MB. Na versão 4, os travamentos ocorrem se qualquer página de livro exceder o limite de tamanho de TAG String de 32 KiB.

Recommendations Atualize para a versão 3.26.5. Atualize para a versão 4.0.5. Bana livros editáveis. Use um plugin para cancelar o PlayerEditBookEvent se strlen(text) > 1024 ou mb strlen(text) > 256.