CVE-2026-107839
Beschreibung
ageLANServer bietet einen plattformübergreifenden Webserver und Launcher für den Offline-Multiplayer in mehreren Age of Empires- und Age of Mythology-Spielen. Vor Version 1.15.2 hat der AoE3 POST /game/cloud/getFileURL-Handler im gebündelten Spielserver keine Anforderungsgröße oder Obergrenze für das angreifergesteuerte JSON-Namen-Array und weist den Antwortspeicher direkt aus der unbegrenzten Arraylänge zu. Ein entfernter, nicht authentifizierter Client kann den Standard-Selbstregistrierungsfluss verwenden und eine übergroße Anforderung senden, die eine übermäßige Speicherzuweisung verursacht, den Serverprozess abstürzt oder hängt, aktive Spieler trennt und den Dienst bis zum Neustart nicht verfügbar hält. Dieses Problem wurde in Version 1.15.2 behoben.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.