CVE-2023-54394

Nome do Software Vulnerável e Versões Afetadas PocketMine-MP versões anteriores a 4.18.0-ALPHA2

Description O software falha ao limitar a taxa de solicitações InventoryTransactionPacket do tipo mismatch. Isso permite que um invasor não autenticado desencadeie uma sincronização excessiva de inventário ao enviar inúmeras transações de mismatch, forçando o servidor a transmitir grandes quantidades de dados de inventário serializados. Esse processo atua como um multiplicador de largura de banda, consumindo largura de banda significativa do servidor, especialmente ao lidar com grandes quantidades de NBT (Named Binary Tag), que é um formato de dados estruturados usado para armazenar propriedades de itens.

Recommendations Atualize para a versão 4.18.0-ALPHA2 ou posterior. Como solução temporária, utilize plugins para manipular o DataPacketReceiveEvent para InventoryTransactionPacket e aplique um limite de taxa ao MismatchTransactionData, como no máximo uma solicitação por tick.