CVE-2026-45084

OpenSIPS Session Initiation Protocol (SIP) serverinin tətbiqidir. 3.4.0-dan 3.6.5-ə qədər olan versiyalarda presence modulunda xidmətdən imtina (DoS) zəifliyi mövcuddur. enable_sphere_check=1 konfiqurasiya seçimi təyin edildikdə, presence modulunun handle_publish() funksiyası Event: presence başlığı və mesaj gövdəsi olan SIP PUBLISH sorğusunu emal edərkən, əvvəlcə parse_content_type_hdr() funksiyasını çağırmadan get_content_type() makrosunu işə salır ki, bu da başladılmamış və ya NULL olan Content-Type analiz vəziyyətinin istinad edilməsinə (dereference) və sistemin çökməsinə səbəb olur. Əgər Content-Type başlığı mövcudsa lakin analiz edilməyibsə, msg->content_type->parsed NULL olur və content_t göstəricisi kimi istinad edilir; əgər sorğuda Content-Type başlığı tamamilə yoxdursa, msg->content_type özü NULL olur və hər iki hal sistemin çökməsinə gətirib çıxarır. Beləliklə, uzaqdakı hücumçu UDP və ya TCP vasitəsilə tək bir PUBLISH sorğusu göndərməklə — istər düzgün Content-Type: application/pidf+xml sorğusu ilə, istərsə də həmin başlığın silindiyi sorğu ilə — təsirə məruz qalan nümunədə xidmətdən imtanaya səbəb ola bilər; həmçinin zəiflik olan kod yolu autentifikasiyanı tələb etmir (baxmayaraq ki, tətbiqin marşrutlaşdırma konfiqurasiyası bu marşruta çatmazdan əvvəl bunu tələb edə bilər). Problem 3.6.6 və 4.0.0-rc1 versiyalarında aradan qaldırılmışdır.