CVE-2020-15260

PJSIP; SIP, SDP, RTP, STUN, TURN ve ICE gibi standart tabanlı protokolleri uygullayan, C dilinde yazılmış ücretsiz ve açık kaynaklı bir multimedya iletişim kütüphanesidir. 2.10 ve önceki sürümlerde, PJSIP taşıma katmanları aynı IP adresi + port + protokole sahipse yeniden kullanılabilir. Ancak, uzak ana makine adı kimlik doğrulaması eksik olduğu için bu durum güvenli taşıma için yetersizdir. Örneğin, `100.1.1.1` IP adresine sahip olan `sip.foo.com` ile bir TLS bağlantısı oluşturulduğunu varsayalım. Aynı IP adresine sahip başka bir ana makine adına, örneğin `sip.bar.com` ile bir TLS bağlantısı oluşturulmak istendiğinde, `100.1.1.1` adresinin `sip.bar.com` olarak kimlik doğrulaması yapacak bir sertifikası olmasa bile mevcut bağlantı yeniden kullanılır. Bu güvenlik açığı, kullanıcı farkındalığı olmadan güvensiz bir etkileşime izin verir. Aynı adrese çözümlenen farklı hedeflere bağlantı erişimine ihtiyaç duyan kullanıcıları etkiler ve saldırganın, DNS spoofing durumunda olduğu gibi, bir bağlantıyı başka bir hedefe yönlendirebilmesi halinde ortadaki adam (man-in-the-middle) saldırısına olanak tanır.