PT-2022-2174 · Pjsip+3 · Pjsip+3

Sauwming · Publicado 2022-01-26 · Atualizado 2025-11-04 · CVE-2022-21722

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:C

Nome do software vulnerável e versões afetadas

PJSIP versões 2.11.1 e anteriores

Descrição

O problema está relacionado a um estouro de buffer na memória ao processar pacotes RTP/RTCP, o que pode ser explorado por um invasor remoto para causar uma negação de serviço. O PJSIP é uma biblioteca de comunicação multimídia gratuita e de código aberto que implementa protocolos baseados em padrões, como SIP, SDP, RTP, STUN, TURN e ICE. O problema afeta todos os usuários que utilizam o PJMEDIA e aceitam pacotes RTP/RTCP recebidos.

Recomendações

Para as versões 2.11.1 e anteriores do PJSIP, atualize para uma versão que inclua o patch disponível como um commit no ramo master para resolver o problema. Como solução temporária, considere restringir a aceitação de pacotes RTP/RTCP recebidos até que o patch seja aplicado.

Exploit

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

ALT-PU-2024-15954

ALT-PU-2024-16030

BDU:2022-02185

CVE-2022-21722

DLA-2962-1

DLA-3194-1

DLA-3549-1

DLA-3887-1

DSA-5285-1

GHSA-M66Q-Q64C-HV36

USN-6422-1

Produtos afetados

Alt Linux

Linuxmint

Pjsip

Ubuntu

Referências · 53

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21722.json · Exploit
• https://github.com/pjsip/pjproject/commit/22af44e68a0c7d190ac1e25075e1382f77e9397a · Correção
• https://github.com/pjsip/pjproject/security/advisories/GHSA-m66q-q64c-hv36 · Correção
• https://lists.debian.org/debian-lts-announce/2022/11/msg00021.html · Nota
• https://osv.dev/vulnerability/USN-6422-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-24754 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-39244 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-2962-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-21723 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2022-21722 · Nota
• https://ubuntu.com/security/CVE-2022-23547 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-21722 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2022/03/msg00035.html · Nota
• https://t.me/cvenotify/31144 · Publicação no Telegram
• https://osv.dev/vulnerability/ALPINE-CVE-2022-21722 · Aviso do Fabricante