CVE-2026-25994: PJSIP: estouro de buffer no heap em ICE (PJNATH) com username longo
Um estouro de buffer na sessão ICE do PJNATH, parte do PJSIP/PJProject, é acionado quando as credenciais contêm um username excessivamente longo, segundo a descrição do CVE. O registro indica as versões até a 2.16 inclusive como afetadas, classificadas como CWE-120. Nas fontes consultadas não há exploração confirmada e o registro não consta no catálogo KEV.
Visão geral
PJSIP é uma biblioteca de comunicação multimídia de código aberto escrita em C. Segundo o registro do CVE, as versões até a 2.16 inclusive apresentam um estouro de buffer na sessão ICE do PJNATH quando são processadas credenciais com nomes de usuário excessivamente longos. A fraqueza é classificada como CWE-120. O registro foi publicado em 11/02/2026.
Impacto
O registro classifica o problema como crítico, com pontuação CVSS 3.1 de 9,8 atribuída pelo NVD, vetor indicando ataque pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Também consta uma pontuação de 8,1 no CVSS 4.0 fornecida pelo CNA do GitHub. Estouros de heap desse tipo podem, em geral, levar a falhas e corrupção de memória; as fontes não confirmam o resultado específico para esta falha.
Produtos e versões afetadas
- Pjsip Pjproject: versão 2.16 e anteriores, conforme o registro.
- Pjsip Pjsip: 2.16 e anteriores, conforme o registro.
O registro não informa um número de versão corrigida. Commits de correção e um GitHub Security Advisory estão listados como referências de patch, e o caminho de correção deve ser verificado nessas fontes.
Status de exploração
O registro não lista este CVE no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada. Os campos SSVC indicam exploração como none e automatizável como yes, e a probabilidade EPSS é 0,02254 (percentil 0,82812). São estimativas, não evidência de ataques ativos.
Correção e mitigação
- Revise o commit de correção e o GitHub Security Advisory citados no registro e aplique a correção do fornecedor em builds do PJProject 2.16 ou anteriores.
- Identifique todas as aplicações ou equipamentos que incorporam PJSIP/PJProject, incluindo firmwares de fornecedores, pois cópias embutidas podem não ser atualizadas automaticamente.
- Quando a aplicação for adiada, restrinja a exposição de serviços SIP e ICE a redes confiáveis, como medida defensiva geral.
Orientações de detecção
- Mantenha um inventário das versões de PJSIP/PJProject em servidores, endpoints e sistemas embarcados.
- Monitore falhas ou reinicializações anormais de processos que usam PJNATH ou ICE, o que pode indicar tentativas de corrupção de memória.
- Revise registros de autenticação e de estabelecimento de sessão em busca de campos de username incomumente longos.
Limitações das informações disponíveis
As fontes consultadas não trazem análise técnica detalhada do caminho de código, a string exata da versão corrigida nem detalhes de prova de conceito, e esta análise não os inclui. As pontuações CVSS 3.1 e 4.0 são fornecidas por provedores diferentes e sua justificativa não consta no registro. Se a falha é alcançável em um dado ambiente depende da configuração, que o registro não descreve.
Perguntas frequentes
O CVE-2026-25994 está sendo explorado ativamente?
O registro não o lista no KEV da CISA, e nas fontes consultadas não há exploração confirmada.
Quais versões são afetadas?
O registro indica o PJProject até a versão 2.16 inclusive.
Existe correção?
O registro vincula commits de correção e um GitHub Security Advisory, mas não informa número de versão corrigida. Consulte essas fontes.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.