PT-2022-2183 · Pjsip+3 · Pjsip+3

Highsauwming · Publicado 2020-07-06 · Atualizado 2025-11-04 · CVE-2022-21723

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:C

Nome do software vulnerável e versões afetadas

PJSIP versões 2.11.1 e anteriores

Descrição

O problema está relacionado a um possível acesso de leitura fora dos limites ao analisar uma mensagem SIP recebida que contenha uma parte multipart mal formada. Isso afeta todos os usuários do PJSIP que aceitam multipart SIP. O problema pode ser explorado por um invasor remoto para causar uma negação de serviço.

Recomendações

Para as versões 2.11.1 e anteriores do PJSIP, atualize para uma versão que inclua o patch disponível no ramo master, pois não há soluções alternativas conhecidas para este problema. Como solução alternativa temporária, considere restringir a aceitação de mensagens SIP multipart até que o patch seja aplicado.

Exploit

Correção

Out of bounds Read

Enumeração de Fraquezas

CWE-125

Identificadores relacionados

ALT-PU-2020-2313

ALT-PU-2024-15954

ALT-PU-2024-16030

BDU:2022-02209

CVE-2022-21723

DLA-2962-1

DLA-3194-1

DLA-3549-1

DLA-3887-1

DSA-5285-1

GHSA-7FW8-54CV-R7PM

USN-6422-1

Produtos afetados

Alt Linux

Linuxmint

Pjsip

Ubuntu

Referências · 53

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21723.json · Exploit
• https://github.com/pjsip/pjproject/security/advisories/GHSA-7fw8-54cv-r7pm · Correção
• https://github.com/pjsip/pjproject/commit/077b465c33f0aec05a49cd2ca456f9a1b112e896 · Correção
• https://lists.debian.org/debian-lts-announce/2022/11/msg00021.html · Nota
• https://security-tracker.debian.org/tracker/CVE-2022-21723 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-21723 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-21723 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-6422-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-24754 · Aviso do Fabricante
• http://seclists.org/fulldisclosure/2022/Mar/2 · Correção
• https://osv.dev/vulnerability/DLA-2962-1 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-39244 · Aviso do Fabricante
• https://osv.dev/vulnerability/ALPINE-CVE-2022-21723 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-21723 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2022-21723 · Nota