CVE-2026-57163 in pjproject
Zusammenfassung
von VulDB • 07.09.2026
PJSIP ist eine kostenlose und quelloffene Bibliothek für die Multimedia-Kommunikation, geschrieben in C. Vor dem Commit c4a151a besteht ein Stack-Buffer-Overflow im GnuTLS-TLS-Backend beim Parsen der Subject Alternative Name-Erweiterung eines Zertifikats des Peers (tls_cert_get_info() in ssl_sock_gtls.c). Nur Builds mit GnuTLS (--with-gnutls) sind betroffen; OpenSSL- und Apple SecureTransport/Network.framework-Builds sind nicht betroffen. Beim Extrahieren von Zertifikatinformationen nach einem TLS-Handshake kann ein falscher Buffer-Size-Wert dazu führen, dass eine zu große SubjectAltName-Eintrage über das Ende eines festgroßen Stack-Puffers hinaus geschrieben wird. Ein Angreifer in Netzwerkposition, der ein manipuliertes Zertifikat präsentiert – also einen bösartigen Server für einen verbindenden Client oder einen bösartigen Client für einen Server, der Zertifikate anfordert –, kann dies während des TLS-Handshakes vor jeder SIP-Ebene-Authentifizierung auslösen. Die Auswirkungen können von einem unerwarteten Anwendungsabbruch bis hin zu einer Kontrolle des Kontrollflusses (Control Flow Hijack) / Speicherkorruption reichen. Dieses Problem wurde durch den Commit c4a151a behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.