BDU:2022-03169: Уязвимость мультимедийной коммуникационной библиотеки PJSIP, связанная с выполнением цикла с недоступным условием выхода, позволяющая нарушителю вызвать отказ в обслуживании

Описание уязвимости Уязвимость мультимедийной коммуникационной библиотеки PJSIP связана с выполнением цикла с недоступным условием выхода при обработке файлов формата WAV/AVI. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор Сообщество свободного программного обеспечения, ООО «Ред Софт», ФССП России, АО "НППКТ"
Наименование ПО Debian GNU/Linux, РЕД ОС (запись в едином реестре российских программ №3751), ОС ТД АИС ФССП России, PJSIP, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО
  • 9 (Debian GNU/Linux)
  • 10 (Debian GNU/Linux)
  • 11 (Debian GNU/Linux)
  • 7.3 (РЕД ОС)
  • ИК6 (ОС ТД АИС ФССП России)
  • до 2.12 включительно (PJSIP)
  • до 2.6 (ОСОН ОСнова Оnyx)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Тип ошибки Выполнение цикла с недоступным условием выхода (бесконечный цикл)
Идентификатор типа ошибки
Класс уязвимости Уязвимость архитектуры
Дата выявления 25.04.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для PJSIP:
https://github.com/pjsip/pjproject/commit/947bc1ee6d05be10204b918df75a503415fd3213
https://www.pjsip.org/
https://github.com/pjsip/pjproject

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2022-24792

Для РЕД ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Организационные меры:
Пользователям необходимо отклонить файл WAV/AVI, полученный из неизвестного источника, или сначала проверить параметры файла (чтобы его длина не превышала 31-битное целое число)

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения asterisk до версии 1:18.14.0~dfsg+~cs6.12.40431414-1
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Исчерпание ресурсов
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данная уязвимость затрагивает приложения только в 32-разрядных системах
Последние изменения