PT-2021-6170 · Pjsip+3 · Pjsip+3

Highsauwming · Publicado 2020-07-06 · Atualizado 2026-03-24 · CVE-2021-37706

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

PJSIP (versões afetadas não especificadas)

Descrição

O problema está relacionado a um cenário de subfluxo de inteiros durante o processamento de uma mensagem STUN com um atributo ERROR-CODE. Isso pode ser explorado por um agente mal-intencionado localizado na rede da vítima, que pode falsificar e enviar uma mensagem UDP (STUN) especialmente criada para executar remotamente código arbitrário na máquina da vítima. O problema afeta todos os usuários que utilizam STUN.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Integer Underflow

Enumeração de Fraquezas

CWE-191

Identificadores relacionados

ALT-PU-2020-2313

ALT-PU-2024-15954

ALT-PU-2024-16030

BDU:2022-01086

CVE-2021-37706

DLA-2962-1

DLA-3194-1

DLA-3549-1

DLA-3887-1

DSA-5285-1

GHSA-2QPG-F6WF-W984

USN-6422-1

USN-6422-2

USN-8122-1

Produtos afetados

Alt Linux

Linuxmint

Pjsip

Ubuntu

Referências · 63

• https://github.com/pjsip/pjproject/commit/15663e3f37091069b8c98a7fce680dc04bc8e865 · Correção
• https://github.com/pjsip/pjproject/security/advisories/GHSA-2qpg-f6wf-w984 · Correção
• https://ubuntu.com/security/CVE-2022-39244 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-37706 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-43299 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-37706 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-37706 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALPINE-CVE-2021-37706 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-23608 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-24793 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-01086 · Nota de Segurança
• http://seclists.org/fulldisclosure/2022/Mar/0 · Correção
• https://ubuntu.com/security/CVE-2022-24764 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2022/03/msg00035.html · Nota
• https://osv.dev/vulnerability/DLA-3194-1 · Aviso do Fabricante