遠端 Ubuntu 23.10 主機上安裝的套件受到 USN-6422-2 公告中所提及的多個弱點影響。

  - PJSIP 是一個以 C 語言撰寫的免費開放原始碼多媒體通訊程式庫，實作 SIP、SDP、RTP、STUN、TURN 和 ICE 等標准通訊協定。在受影響的版本中，如果傳入的 STUN 訊息包含 ERROR-CODE 屬性，則在執行減法運算前不會檢查標頭長度，而這有可能導致整數反向溢位情形。此問題會影響所有使用 STUN 的使用者。位於受害者網路內的惡意執行者可能偽造並傳送特製的 UDP (STUN) 訊息，進而造成可在受害者的計算機上遠端執行任意程式碼。建議使用者盡快進行升級。目前尚無已知的因應措施。(CVE-2021-37706)

  - PJSIP 以 C 語言編寫，是一個免費且開放原始碼的多媒體通訊程式庫。2.13 及之前版本中的一個緩衝區溢位弱點會影響使用 PJSIP DNS 解析器的應用程式。它不會影響未使用 PJSIP DNS 解析器的 PJSIP 使用者。此弱點與 CVE-2022-24793 有關。
    不同的是，此問題在於剖析查詢記錄「parse_query()」，而 CVE-2022-24793 中的問題在於「parse_rr()」。在「master」 分支中，修補程式作為 commit「d1c5e4d」存在。作為因應措施，可以停用 PJSIP 組態中的 DNS 解析 (將「nameserver_count」設為零) 或改用外部解析器實作。(CVE-2023-27585)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 23.10：環弱點 (USN-6422-2)

critical Nessus Plugin ID 183787

版本 1.0