El equipo de investigación de seguridad de JFrog ha reportado 5 vulnerabilidades: 3 de severidad alta y 2 de severidad media, que afectan a la librería de comunicación multimedia de código abierto PJSIP, y que podrían permitir la ejecución remota de código, así como generar una condición de denegación de servicio.

Recursos afectados: 

Cualquier proyecto que utilice la librería PJSIP, con versiones anteriores a la 2.12, y pase argumentos controlados por el atacante a cualquiera de las siguientes API:

• pjsua_player_create – filename,
• pjsua_recorder_create – filename,
• pjsua_playlist_create – file_names,
• pjsua_call_dump – buffer.
   

Descripción:

• CVE-2021-43299. Esta vulnerabilidad se debe a ‎un desbordamiento de pila en la API de PJSUA al llamar a la función pjsua_player_create. Un atacante podría aprovechar esta vulnerabilidad (si es que obtiene un argumento 'filename' controlado) para provocar un desbordamiento de búfer.
• CVE-2021-43300. Esta vulnerabilidad se debe a ‎un desbordamiento de pila en la API de PJSUA al llamar a la función pjsua_recorder_create. Un atacante podría aprovechar esta vulnerabilidad (si es que obtiene un argumento 'filename' controlado) para provocar un desbordamiento de búfer, ya que se copia en un búfer de pila de tamaño fijo sin ninguna validación de tamaño.
• CVE-2021-43301. Esta vulnerabilidad se debe a ‎un desbordamiento de pila en la API de PJSUA al llamar a la función pjsua_playlist_create. Un atacante podría aprovechar esta vulnerabilidad (si es que obtiene un argumento 'filename' controlado) para provocar un desbordamiento de búfer, ya que se copia en un búfer de pila de tamaño fijo sin ninguna validación de tamaño.
• CVE-2021-43302. Esta vulnerabilidad se debe a que no se verifica la longitud de lectura al comparar las cadenas en la API de PJSUA al llamar a la función pjsua_recorder_create. Un atacante podría aprovechar esta vulnerabilidad (si es que obtiene un argumento 'filename' controlado) para provocar una lectura fuera de los límites cuando el nombre de archivo es inferior a 4 caracteres.
• CVE-2021-43303. Esta vulnerabilidad se debe a ‎un desbordamiento de pila en la API de PJSUA al llamar a pjsua_call_dump (una función que vuelca las estadísticas de llamadas a un búfer determinado). Un atacante podría aprovechar esta vulnerabilidad (si es que obtiene un argumento 'búfer' controlado) para provocar un desbordamiento de búfer, debido a que el suministro de un búfer de salida de menos de 128 caracteres puede desbordar el búfer de salida, independientemente del argumento 'maxlen' (para almacenar las estadísticas temporalmente) suministrado‎.

Recomendaciones:

• Actualizar PJSIP a la versión 2.12.

Referencias:

• https://jfrog.com/blog/jfrog-discloses-5-memory-corruption-vulnerabilities-in-pjsip-a-popular-multimedia-library/