流行的开源PJSIP SIP和媒体堆栈中报告的关键错误

PJSIP开源多媒体通信库中暴露了多达五个安全漏洞，攻击者可以利用这些漏洞在使用协议栈的应用程序中触发任意代码执行和拒绝服务（DoS）。

The weaknesses were identified and reported by JFrog's Security Research team, following which the project maintainers released patches (version 2.12) last week on February 24, 2022.

PJSIP是一个用C编写的开源嵌入式SIP协议套件，支持WhatsApp和BlueJeans等流行通信平台的音频、视频和即时消息功能。Asterisk也使用它，这是一种广泛用于VoIP网络的专用交换机（PBX）交换系统。

PJSIP的开发人员Sauw Ming在上个月发布在GitHub上的一条建议中指出：“PJSIP中使用的缓冲区通常大小有限，尤其是在堆栈中分配的缓冲区或应用程序提供的缓冲区，但是在一些地方，我们不会检查我们的使用量是否超过这些大小。”这种情况可能会导致缓冲区溢出。

The list of flaws is as follows –

• CVE-2021-43299（CVSS得分：8.1）和#8211；调用PJSUA_player_create（）时PJSUA API中的堆栈溢出
• CVE-2021-43300（CVSS得分：8.1）和#8211；调用PJSUA_recorder_create（）时PJSUA API中的堆栈溢出
• CVE-2021-43301（CVSS得分：8.1）和#8211；调用PJSUA_playlist_create（）时PJSUA API中的堆栈溢出
• CVE-2021-43302（CVSS得分：5.9）和#8211；调用PJSUA_recorder_create（）时读取PJSUA API中的越界信息
• CVE-2021-43303（CVSS得分：5.9）和#8211；调用PJSUA_call_dump（）时PJSUA API中的缓冲区溢出

报告这些缺陷的JFrog研究员乌里亚·亚夫尼利（Uriya Yavnieli）说，成功利用上述缺陷可能会使恶意参与者将攻击者控制的参数传递给任何易受攻击的API，从而导致代码执行和DoS情况。