CVE-2026-33069

MEDIUM CVSS 4.0: 6,9 EPSS 0.05%
Обновлено 23 марта 2026
Pjsip
Параметр Значение
CVSS 6,9 (MEDIUM)
Уязвимые версии до 2.17
Устранено в версии 2.17
Тип уязвимости CWE-125 (Чтение за пределами буфера)
Поставщик Pjsip
Публичный эксплойт Нет

PJSIP — это бесплатная библиотека мультимедийной связи с открытым исходным кодом, написанная на C. Версии 2.16 и ниже имеют каскадное чтение внешней кучи в pjsip_multipart_parse(). После сопоставления граничной строки curptr продвигается за разделитель без проверки того, что он не достиг конца буфера.

Это позволяет прочитать 1-2 байта соседней кучи. Потенциально затронуты все приложения, которые обрабатывают входящие SIP-сообщения с составными телами или содержимым SDP. Эта проблема решена в версии 2.17.

Показать оригинальное описание (EN)

PJSIP is a free and open source multimedia communication library written in C. Versions 2.16 and below have a cascading out-of-bounds heap read in pjsip_multipart_parse(). After boundary string matching, curptr is advanced past the delimiter without verifying it has not reached the buffer end. This allows 1-2 bytes of adjacent heap memory to be read. All applications that process incoming SIP messages with multipart bodies or SDP content are potentially affected. This issue is resolved in version 2.17.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Pjsip Pjsip
cpe:2.3:a:pjsip:pjsip:*:*:*:*:*:*:*:*
2.17