CVE-2026-41415: PJSIP: leitura fora dos limites em URI Content-ID de multipart SIP
Uma URI Content-ID malformada em corpo de mensagem SIP multipart pode provocar leitura fora dos limites no PJSIP, segundo o registro. A descrição indica que as versões 2.16 e anteriores são afetadas e que o problema está corrigido na 2.17. O registro classifica a severidade como crítica, com pontuação 9.1 no NVD, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O PJSIP é uma biblioteca de comunicação multimídia escrita em C. Segundo o registro, as versões 2.16 e anteriores contêm uma leitura fora dos limites que ocorre ao analisar uma URI Content-ID malformada dentro de um corpo de mensagem SIP multipart. A validação insuficiente de tamanho permite leituras além do buffer previsto. A correção está disponível na versão 2.17. O aviso do fornecedor está em aviso de segurança GHSA-935m-fmf5-j4pm no GitHub, e o commit de correção está em commit 4225a93.
Impacto
A fragilidade é classificada como CWE-125, Leitura fora dos limites. O NVD atribui pontuação base 9.1 (crítica), e o registro descreve o ataque como acessível pela rede, sem necessidade de privilégios nem de interação do usuário, com alto impacto na confidencialidade e na disponibilidade e sem impacto na integridade. O CNA do GitHub atribui pontuação 6.7. Como a falha é de leitura e não de escrita, os efeitos mais diretos descritos são exposição de informações e instabilidade do processo, o que é uma inferência a partir do tipo de fragilidade e não uma afirmação das fontes.
Produtos e versões afetadas
- Pjsip Pjproject: versões anteriores à 2.17, conforme listado no registro.
- Teluu Pjsip: versões anteriores à 2.17, conforme listado no registro.
- A descrição indica que as versões 2.16 e anteriores são afetadas.
O registro não lista todas as versões intermediárias nem confirma a primeira versão vulnerável, por isso administradores devem verificar a compilação exata em uso no aviso do fornecedor.
Status de exploração
O catálogo de Vulnerabilidades Exploradas Conhecidas da CISA não inclui esta CVE, portanto a exploração ativa não é confirmada por essa fonte. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0.00539 (percentil 0.44571), e o registro SSVC marca a exploração como nula, embora indique que o problema é automatizável.
Correção e mitigação
- Atualize o PJSIP para a versão 2.17 ou posterior, que o registro identifica como versão corrigida.
- Revise o aviso do fornecedor e o commit de correção para confirmar que a alteração se aplica à sua compilação.
- Faça um inventário de todas as aplicações que incorporam o PJSIP, incluindo produtos que o empacotam de forma estática, pois essas compilações podem não aparecer em listagens de gerenciadores de pacotes.
- Se a correção for adiada, restrinja quais origens de rede podem alcançar as interfaces de sinalização SIP, já que o registro descreve o ataque como baseado em rede.
Orientações de detecção
- Identifique os sistemas que executam o PJSIP e registre a versão exata da biblioteca.
- Monitore a sinalização SIP em busca de corpos multipart incomumente malformados ou cabeçalhos Content-ID anormais, e revise eventos de falha ou reinicialização nos serviços SIP.
- Trate falhas inexplicadas ou erros de memória em serviços baseados em PJSIP como possíveis indicadores e correlacione-os com os registros de tráfego SIP recebido.
Limitações das informações disponíveis
O registro não fornece descrição técnica detalhada do caminho de código vulnerável, nem prova de conceito, nem detalhes da lógica de validação de tamanho. O título do registro menciona um underflow de tamanho, enquanto a descrição e a CWE identificam uma leitura fora dos limites; esta análise segue a descrição e a CWE. As condições de exploração além do vetor CVSS são desconhecidas, e nenhuma declaração do fornecedor sobre impacto real foi encontrada nas fontes consultadas.
Perguntas frequentes
Quais versões do PJSIP são afetadas pela CVE-2026-41415?
Segundo o registro, as versões 2.16 e anteriores são afetadas, e as entradas de produto listam versões anteriores à 2.17.
Qual versão corrige o problema?
O registro indica que a vulnerabilidade está corrigida na 2.17, e o commit de correção é referenciado no aviso do GitHub.
Há registro de exploração conhecida?
A CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.