Мод в настоящее время исправляет три различные уязвимости для всех затронутых версий Minecraft от 1.14.4 до последней!
Переполнение стека через NBT в селекторах сущностей
Уязвимость переполнения стека в Minecraft версий с 1.14.4 до последней на момент написания позволяет злоумышленникам вызывать сбои серверов, используя глубоко вложенные данные NBT внутри селекторов сущностей, из-за чего рекурсивный разбор в TagParser исчерпывает стек JVM. Хотя Minecraft 1.21.1 не позволяет непривилегированным игрокам запускать проблему через селекторы сущностей, операторы и игроки в творческом режиме всё ещё могут воспроизвести сбой на неисправленных серверах. Примечательно, что PaperMC обнаружила и исправила основную проблему парсера на несколько месяцев раньше.
Пост в блоге от haykam: haykam.com
Чрезмерное выделение сетевых объектов
Уязвимость отказа в обслуживании, затрагивающая сетевую часть Minecraft, позволяла аутентифицированным игрокам вызывать сбои серверов, отправляя вредоносные пакеты, которые вызывали чрезмерное выделение памяти при десериализации коллекций через FriendlyByteBuf.readCollection, FriendlyByteBuf.readMap или связанные методы. Хотя проблема была эксплуатируема через пакет Fabric API и, вероятно, многие пакеты модов на разных загрузчиках, NeoForge и Fabric исправили её для своих наиболее активных версий (NeoForge: 1.21.1 и 26.1, Fabric: 1.20.1, 1.21.1, 1.21.11, 26.1, 26.2). CrashExploitFixer исправляет проблему для всех версий Forge, NeoForge и Fabric и совместим с их исправлениями.
Большая благодарность Paul за сообщение об этом в приватном порядке
Пост в блоге от NeoForge: neoforged.net
Расширение переводимых компонентов
Уязвимость отказа в обслуживании, затрагивающая Minecraft 1.16–1.21.4, позволяла злоумышленникам создавать рекурсивно расширяющиеся текстовые компоненты, которые могли раздуваться в огромные строки при разборе, уплощении или вызовах вроде