CVE-2023-54355

Nome do Software Vulnerável e Versões Afetadas PocketMine-MP versões anteriores a 5.3.1 PocketMine-MP versões anteriores a 4.23.1

Description A falha na validação de que a identityPublicKey no LoginPacket utiliza a curva elíptica secp384r1 exigida permite que atacantes ignorem a verificação de login. Ao fornecer chaves usando curvas diferentes ou tipos de chave não-EC, um atacante pode disparar uma exceção não capturada durante a derivação de chave ECDH (Elliptic Curve Diffie-Hellman), que é um método usado para calcular um segredo compartilhado para criptografia simétrica. Isso resulta no travamento do servidor.

Recommendations Atualize para a versão 5.3.1 ou posterior. Atualize para a versão 4.23.1 ou posterior. Como medida paliativa temporária, utilize um plugin para manipular o LoginPacket e verificar se todos os valores de identityPublicKey pertencem à curva secp384r1.