Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-03168

Опубликовано: 08 мар. 2022
Источник: fstec
CVSS3: 8.5
CVSS2: 7.1
EPSS Низкий

Описание

Уязвимость реализации функции pjsip_auth_create_digest() мультимедийной коммуникационной библиотеки PJSIP связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
ФССП России

Наименование ПО

Debian GNU/Linux
РЕД ОС
ОС ТД АИС ФССП России
PJSIP

Версия ПО

9 (Debian GNU/Linux)
10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
7.3 (РЕД ОС)
ИК6 (ОС ТД АИС ФССП России)
до 2.12 включительно (PJSIP)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
ФССП России ОС ТД АИС ФССП России ИК6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для PJSIP:
https://github.com/pjsip/pjproject/commit/d27f79da11df7bc8bb56c2f291d71e54df8d2c47
https://www.pjsip.org/
https://github.com/pjsip/pjproject
Для Debian:
https://security-tracker.debian.org/tracker/CVE-2022-24754
https://lists.debian.org/debian-lts-announce/2022/03/msg00035.html
Для РЕД ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/
Организационные меры:
Пользователям необходимо убедиться, что длина хешированных данных дайджеста должна быть равна значению PJSIP_MD5STRLEN перед передачей данных в PJSIP

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 63%
0.00465
Низкий

8.5 High

CVSS3

7.1 High

CVSS2

Связанные уязвимости

redos
около 3 лет назад

Множественные уязвимости pjproject

CVSS3: 8.5
ubuntu
больше 3 лет назад

PJSIP is a free and open source multimedia communication library written in C language. In versions prior to and including 2.12 PJSIP there is a stack-buffer overflow vulnerability which only impacts PJSIP users who accept hashed digest credentials (credentials with data_type `PJSIP_CRED_DATA_DIGEST`). This issue has been patched in the master branch of the PJSIP repository and will be included with the next release. Users unable to upgrade need to check that the hashed digest data length must be equal to `PJSIP_MD5STRLEN` before passing to PJSIP.

CVSS3: 8.5
nvd
больше 3 лет назад

PJSIP is a free and open source multimedia communication library written in C language. In versions prior to and including 2.12 PJSIP there is a stack-buffer overflow vulnerability which only impacts PJSIP users who accept hashed digest credentials (credentials with data_type `PJSIP_CRED_DATA_DIGEST`). This issue has been patched in the master branch of the PJSIP repository and will be included with the next release. Users unable to upgrade need to check that the hashed digest data length must be equal to `PJSIP_MD5STRLEN` before passing to PJSIP.

CVSS3: 8.5
debian
больше 3 лет назад

PJSIP is a free and open source multimedia communication library writt ...

EPSS

Процентиль: 63%
0.00465
Низкий

8.5 High

CVSS3

7.1 High

CVSS2