CVE-2022-23884

Es gibt eine Netzwerkschichtsicherheitslücke im offiziellen Server von Minecraft: Bedrock Edition (auch bekannt als Bedrock Server), die es einem Angreifer ermöglicht, einen DoS-Angriff zu starten.

CVE-2022-23884 Mojang Bedrock Dedicated Server 1.16.0-1.18.12 ist von einer großen Schleife und einem Serverabsturz betroffen, verursacht durch PurchaseReceiptPacket::_read (Paketdeserialisierer).

Details

CVE-2022-23884 betrifft Bedrock Server 1.16.0-1.18.12. Es wird durch PurchaseReceiptPacket::_read (Paketdeserialisierer) verursacht.

//pseudo-code
u32 Num = readUnsignedVarInt();
 for ( i = 0; i < (unsigned int)Num; ++i )
  {
      ...
  }

Angreifer können eine spezielle Num (z. B. 0xffffffff) wählen. Große Größen verursachen eine große Schleife (blockiert den Hauptthread) und führen zu einem Serverabsturz.

PoCs

Haftungsausschluss: PoCs sind nur dafür vorgesehen, um zu testen, ob Ihr Server anfällig ist. Die Anbieter übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch diese Programme verursacht werden. Nutzung auf eigene Gefahr.
CVE-2022-23884: python replay.py <IP> <Port> purchase.pkt

Patches

Der neueste Bedrock Server (1.18.12.01) enthält keine Patches für CVE-2022-23884. Es gibt Patches von Drittanbietern.

Patch für CVE-2022-23884:
Sie können PurchaseReceiptPacket::_read hooken und false zurückgeben. (Das Paket wird nur für Partnerserver verwendet, daher muss BDS keine Verarbeitung durchführen, sondern einfach false zurückgeben) Diese Datei in LiteLoader hat CVE-2022-23884 behoben.
Aktualisieren Sie auf LiteLoader 2.0.5 oder höher, um dieses Problem zu beheben.