CVE-2026-84975
Açıklama
PJSIP, C dilinde yazılmış ücretsiz ve açık kaynaklı bir multimedya iletişim kütüphanesidir. 2.17 ve önceki sürümlerde, pjlib/src/pj/ssl_sock_ossl.c ve pjlib/src/pj/ssl_sock_gtls.c dosyalarındaki OpenSSL ve GnuTLS arka uçları, DNS SubjectAltName değerlerini uzunluklarını yeniden hesaplayan ve gömülü NUL baytını kesen dize fonksiyonlarıyla kopyalamaktadır. PJSIP TLS/SIPS taşıması için --tls-verify-server aracılığıyla sunucu doğrulaması etkinleştirildiğinde; hedef ana makine ön eki, ardından gelen gömülü bir NUL ve saldırgan tarafından kontrol edilen bir son ekten oluşan bir DNS SubjectAltName içeren sertifika, ön ek ana makinesi için kabul edilebilir. Güvenilir bir yayıncıdan böyle bir sertifikaya sahip olan ve bağlantıyı kestirebilen bir saldırgan, hedef sunucuyu taklit edebilir, SIP oturumunu tamamlayabilir ve REGISTER kimlik bilgilerini alabilir. mbedTLS arka ucu, açık dize uzunluğunu koruduğu için etkilenmemektedir. Bu inceleme itibarıyla düzeltilmiş bir sürüm mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| teluu pjsip | v ≤ 2.17 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.