BDU:2022-03172

Опубликовано: 06 апр. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость реализации разрешения DNS мультимедийной коммуникационной библиотеки PJSIP связана с копированием буфера без проверки размера входных данных при обработке DNS пакетов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ФССП России

АО "НППКТ"

Наименование ПО

Debian GNU/Linux

РЕД ОС

ОС ТД АИС ФССП России

PJSIP

ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

7.3 (РЕД ОС)

ИК6 (ОС ТД АИС ФССП России)

до 2.12 включительно (PJSIP)

до 2.6 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «Ред Софт» РЕД ОС 7.3

ФССП России ОС ТД АИС ФССП России ИК6

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для PJSIP:

https://github.com/pjsip/pjproject/commit/9fae8f43accef8ea65d4a8ae9cdf297c46cfe29a

https://www.pjsip.org/

https://github.com/pjsip/pjproject

Для Debian:

https://security-tracker.debian.org/tracker/CVE-2022-24793

Для РЕД ОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС ТД АИС ФССП России:

https://goslinux.fssp.gov.ru/2726972/

Организационные меры:

Пользователям необходимо отключить разрешение DNS в конфигурации PJSIP (установив nameserver_count нулевое значение) или вместо этого использовать реализацию внешнего преобразователя

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения asterisk до версии 1:18.14.0~dfsg+~cs6.12.40431414-1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-24793
CVE

EPSS

Процентиль: 51%

0.00277

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20220518-03

redos

около 3 лет назад

Множественные уязвимости pjproject

CVE-2022-24793

CVSS3: 7.5

ubuntu

около 3 лет назад

PJSIP is a free and open source multimedia communication library written in C. A buffer overflow vulnerability in versions 2.12 and prior affects applications that use PJSIP DNS resolution. It doesn't affect PJSIP users who utilize an external resolver. This vulnerability is related to CVE-2023-27585. The difference is that this issue is in parsing the query record `parse_rr()`, while the issue in CVE-2023-27585 is in `parse_query()`. A patch is available in the `master` branch of the `pjsip/pjproject` GitHub repository. A workaround is to disable DNS resolution in PJSIP config (by setting `nameserver_count` to zero) or use an external resolver instead.

CVE-2022-24793

CVSS3: 7.5

nvd

около 3 лет назад

CVE-2022-24793

CVSS3: 7.5

debian

около 3 лет назад

PJSIP is a free and open source multimedia communication library writt ...

EPSS

Процентиль: 51%

0.00277

Низкий

7.5 High

CVSS3

7.8 High

CVSS2