PocketMine-MP server crash due to incorrect EC curve used for LoginPacket identityPublicKey
Impact
The server uses ECDH to calculate a shared secret for the symmetric encryption key used to encrypt network packets after logging in. ECDH requires that the keys used must both belong to the same elliptic curve. In Minecraft: Bedrock Edition, the curve used is secp384r1.
Using any other curve (for example secp256r1) to sign the LoginPacket JWTs would lead to successfully verifying the login chain, but would later crash due to an uncaught exception during ECDH key derivation due to the client-provided key belonging to a different curve than the server's key. It's also theoretically possible that a non-EC key could be used (e.g. RSA or DH), which would also pass login verification as long as SHA384 hashing algorithm was used for the JWT signatures, and also lead to a crash.
Patches
The problem was fixed in 4.23.1 and 5.3.1 in the following commit: 4e646d19a4a1e0d082bd4d1f5a58ae0182a268d9 While 4.x would not have crashed when this was encountered, the faulty validation code has also been corrected there.
Workarounds
A plugin could handle LoginPacket and check that all of the identityPublicKeys provided in the JWT bodies actually belong to secp384r1. This can be checked by verifying that openssl_pkey_get_details($key)["ec"]["curve_name"] is set and equal to secp384r1. Beware that this element may not exist if the key is not an EC key at all.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | pocketmine/pocketmine-mp | >= 5.2.0, < 5.3.1 | 5.3.1 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
-- Platforma
- Composer
- Paczka
pocketmine/pocketmine-mp- Ujawniono
- 14.09.2023
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-79rc-jjh6-rc89 - CC BY 4.0
Historia podatności: pocketmine/pocketmine-mp
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 30
- Pierwsza → ostatnia
- 11.2020 04.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 20
- Średnia 8
- Niska 2
Ujawnienia w latach
- 2020: 1
- 2021: 1
- 2022: 11
- 2023: 8
- 2024: 2
- 2025: 2
- 2026: 5
-
PocketMine-MP server crash due to incorrect EC curve used for LoginPacket identityPublicKey ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.