🇰🇷 한글 설명
PJSIP은 C로 작성된 오픈소스 멀티미디어 통신 라이브러리입니다. 2.16 이하 버전에서 SIP 멀티파트 메시지 본문의 잘못된 형식의 Content-ID URI를 파싱할 때 범위를 벗어난 읽기가 발생합니다. 길이 검증이 부족하여 의도된 버퍼 경계를 넘어 메모리를 읽을 수 있으며, 이 취약점은 2.17 버전에서 수정되었습니다.
💡 쉬운 설명
인터넷 전화나 화상통화에 쓰이는 통신 프로그램의 결함으로, 악의적으로 조작된 메시지를 받으면 프로그램이 허용되지 않은 메모리 영역을 읽게 됩니다. 이로 인해 서비스가 중단되거나 내부 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
PJSIP is a free and open source multimedia communication library written in C. In 2.16 and earlier, there is an out-of-bounds read when parsing a malformed Content-ID URI in SIP multipart message body. Insufficient length validation can cause reads beyond the intended buffer bounds. This vulnerability is fixed in 2.17.
📍 영향받는 시스템
PJSIP 2.16 이하 버전을 사용하는 VoIP 및 SIP 기반 통신 애플리케이션 서버 및 클라이언트
⚔️ 공격 벡터
공격자가 SIP 요청의 멀티파트 본문에 잘못된 형식의 Content-ID URI를 포함한 메시지를 원격으로 전송
🛡️ 대응 방법
PJSIP을 2.17 이상 버전으로 업그레이드하고, 해당 라이브러리를 사용하는 애플리케이션을 재빌드 및 재배포
🔧 검증 코드
출력된 버전이 2.17 미만이면 취약하므로 업그레이드가 필요하며, 아무 결과도 나오지 않으면 PJSIP이 설치되지 않은 것입니다.
pkg-config --modversion libpjproject 2>/dev/null || pjsip-config --version 2>/dev/null || find / -name 'libpjsua*' 2>/dev/null | head -n 1