CVE-2026-40614 describes a buffer overflow vulnerability in PJSIP, a multimedia communication library. The vulnerability arises during the decoding of Opus audio frames due to insufficient buffer size validation. This impacts PJSIP versions 2.16 and earlier. A fix is available in version 2.17.
CVE-2026-40614 影响 PJSIP 库，这是一款广泛使用的开源多媒体通信库。该漏洞位于 Opus 音频编解码器解码器中，具体是缓冲区大小验证不足。2.17.0 之前的版本在解码 Opus 音频帧时容易出现缓冲区溢出。这是因为解码帧缓冲区大小 (decframe[].buf) 是基于从 PCM 派生的公式计算的，该公式没有充分考虑最大编码包大小 (MAXENCODEDPACKETSIZE)。恶意攻击者可以发送专门制作的 Opus 帧来利用此缺陷，从而可能导致任意代码执行或拒绝服务。由于 PJSIP 在各种通信应用程序中被广泛使用，因此此漏洞的严重程度很高。
利用 CVE-2026-40614 需要攻击者能够将 Opus 音频帧发送到运行 PJSIP 2.17.0 之前的版本的易受攻击系统。这可能发生在各种场景中，例如 VoIP 应用程序、视频会议系统或任何使用 PJSIP 进行音频传输的应用程序。攻击者需要深入了解 Opus 格式以及 PJSIP 如何解码它，才能创建触发缓冲区溢出的恶意帧。利用难度取决于系统架构和安全措施，但通常认为这是一个可利用的漏洞。
Applications and services that rely on PJSIP for audio communication are at risk, particularly those handling audio streams from untrusted sources. This includes VoIP clients, conferencing systems, media servers, and embedded devices utilizing PJSIP. Systems with older, unpatched PJSIP installations are especially vulnerable.
• linux / server:
journalctl -u pjsip | grep -i error• c / generic web: Inspect PJSIP configuration files for any unusual or unexpected settings related to Opus codec parameters. • c / generic web: Monitor network traffic for unusually large Opus audio packets.
disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
CVE-2026-40614 的解决方案是将 PJSIP 升级到 2.17.0 或更高版本。此版本修复了 Opus 解码器中的缓冲区大小验证，从而防止了溢出。如果无法立即升级，请考虑实施缓解措施，例如限制接受的最大 Opus 包大小或部署 Web 应用程序防火墙 (WAF) 以过滤恶意流量。应进行风险评估以确定升级的紧急程度以及对任何其他缓解措施的需求。保护使用 PJSIP 的系统应优先应用安全补丁。
Actualice a la versión 2.17.0 o posterior para mitigar el desbordamiento del búfer del montón. La actualización corrige la validación insuficiente del tamaño del búfer en la ruta de decodificación del códec Opus, evitando que se copien datos más allá de los límites del búfer.
漏洞分析和关键警报直接发送到您的邮箱。
PJSIP 是一款开源多媒体通信库，用于各种应用程序，例如 VoIP 和视频会议。
此更新修复了一个缓冲区溢出，该溢出可能允许攻击者执行恶意代码或导致拒绝服务。
考虑实施缓解措施，例如限制 Opus 包大小或使用 WAF。
可以通过查阅应用程序文档或使用特定的命令行工具来检查 PJSIP 版本。
正在开发漏洞扫描工具以检测 CVE-2026-40614。随时了解最新的安全新闻。