Plataforma
c
Componente
pjsip
Corrigido em
2.16.1
A buffer overflow vulnerability has been discovered in PJSIP, a multimedia communication library. The vulnerability occurs during the decoding of Opus audio frames due to insufficient buffer size validation. This can lead to a crash or potential code execution. Versions 2.16 and earlier are affected, and a fix is available in version 2.17.
A CVE-2026-40614 afeta a biblioteca PJSIP, uma biblioteca de comunicação multimídia de código aberto amplamente utilizada. A vulnerabilidade reside no decodificador de áudio Opus, especificamente na validação do tamanho do buffer. Versões anteriores à 2.17.0 são suscetíveis a um estouro de buffer ao decodificar quadros de áudio Opus. Isso ocorre porque o tamanho do buffer de decodificação (decframe[].buf) é calculado com base em uma fórmula derivada de PCM que não considera adequadamente o tamanho máximo do pacote codificado (MAXENCODEDPACKETSIZE). Um atacante poderia enviar quadros Opus especialmente elaborados para explorar essa deficiência, o que poderia levar à execução de código arbitrário ou negação de serviço. A gravidade desta vulnerabilidade é alta, dadas as amplas aplicações do PJSIP em diversas aplicações de comunicação.
A exploração da CVE-2026-40614 requer que um atacante seja capaz de enviar quadros de áudio Opus para um sistema vulnerável que esteja executando uma versão do PJSIP anterior à 2.17.0. Isso pode ocorrer em vários cenários, como aplicativos VoIP, sistemas de videoconferência ou qualquer outro aplicativo que use o PJSIP para a transmissão de áudio. O atacante precisa de um profundo conhecimento do formato Opus e de como o PJSIP o decodifica para criar quadros maliciosos que acionem o estouro de buffer. A dificuldade da exploração depende da arquitetura do sistema e das medidas de segurança em vigor, mas geralmente é considerada uma vulnerabilidade explorável.
Applications and services that rely on PJSIP for audio communication are at risk, particularly those handling audio streams from untrusted sources. This includes VoIP clients, conferencing systems, media servers, and embedded devices utilizing PJSIP. Systems with older, unpatched PJSIP installations are especially vulnerable.
• linux / server:
journalctl -u pjsip | grep -i error• c / generic web: Inspect PJSIP configuration files for any unusual or unexpected settings related to Opus codec parameters. • c / generic web: Monitor network traffic for unusually large Opus audio packets.
disclosure
Status do Exploit
EPSS
0.03% (percentil 9%)
CISA SSVC
A solução para a CVE-2026-40614 é atualizar para a versão 2.17.0 ou posterior do PJSIP. Esta versão corrige a validação do tamanho do buffer no decodificador Opus, prevenindo o estouro. Se a atualização imediata não for possível, considere implementar medidas de mitigação, como limitar o tamanho máximo do pacote Opus aceito ou implantar um Firewall de Aplicações Web (WAF) para filtrar o tráfego malicioso. Deve ser realizada uma avaliação de risco para determinar a urgência da atualização e a necessidade de medidas de mitigação adicionais. A aplicação de patches de segurança deve ser uma prioridade para proteger os sistemas que utilizam o PJSIP.
Actualice a la versión 2.17.0 o posterior para mitigar el desbordamiento del búfer del montón. La actualización corrige la validación insuficiente del tamaño del búfer en la ruta de decodificación del códec Opus, evitando que se copien datos más allá de los límites del búfer.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
PJSIP é uma biblioteca de comunicação multimídia de código aberto usada em vários aplicativos, como VoIP e videoconferência.
A atualização corrige um estouro de buffer que poderia permitir que um atacante executasse código malicioso ou causasse uma negação de serviço.
Considere implementar medidas de mitigação, como limitar os tamanhos dos pacotes Opus ou usar um WAF.
A versão do PJSIP pode ser verificada consultando a documentação do aplicativo ou usando ferramentas de linha de comando específicas.
Ferramentas de verificação de vulnerabilidade estão sendo desenvolvidas para detectar a CVE-2026-40614. Mantenha-se atualizado com as últimas notícias de segurança.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.