home / blog
2026-10-31 · alta
CVE-2026-77396: out-of-bounds write nel parser AVI di PJSIP
Parser AVI di PJSIP vulnerabile a out-of-bounds write via file AVI crafted. CVSS 7,1, nessuna patch disponibile.
Il CVE-2026-77396 affetta il parser AVI della libreria PJSIP 2.17 e precedenti, una libreria open source ampiamente utilizzata per la comunicazione multimedia. La vulnerabilità risiede in pjmedia/src/pjmedia/avi_player.c, dove il parser usa la lunghezza del chunk video dichiarata nel file AVI come numero di byte da copiare in un buffer heap. Un file AVI opportunamente crafted consente di scrivere oltre i limiti dell'allocazione di memoria (out-of-bounds write), causando corruzione della memoria e potenziale compromissione del processo.
La vulnerabilità ha un punteggio CVSS 7,1 (high), confermando una gravità significativa. Attualmente non esiste una versione corretta disponibile secondo la revisione NVD del 2026-09-18. La disabilitazione degli assert nei build di produzione elimina la protezione presente nel codice, esponendo i sistemi a un rischio concreto. Un segnale pubblico su GitHub (osservato il 2026-10-31) indica la disponibilità di repository che dichiarano di contenere exploit, segnalando interesse attivo della comunità di ricerca sulla falla.
I difensori devono innanzitutto inventariare le applicazioni che utilizzano PJSIP, in particolare quelle che elaborano file AVI da fonti non attendibili. Implementare controlli d'accesso agli stream multimediali, disabilitare il parser AVI se non essenziale, e limitare l'elaborazione di file AVI da origine sospette. Monitorare gli annunci di sicurezza ufficiali di PJSIP per una patch risolutiva e, nel frattempo, valutare mitigazioni architetturali come sandboxing dei processi di riproduzione multimedia.
In sintesi
- Cosa
- Out-of-bounds write nel parser AVI della libreria PJSIP durante l'elaborazione di file AVI. La lunghezza dichiarata del chunk video viene usata direttamente come numero di byte da copiare in un buffer heap, senza validazione contro la capacità effettiva. Un file AVI crafted causa overflow della memoria e corruzione dei dati adiacenti.
- Gravità
- CVSS 7,1 (high). La vulnerabilità consente memory corruption, denial of service tramite crash del processo, e potenzialmente remote code execution in applicazioni che processano file AVI da fonti non verificate.
- Versioni interessate
- PJSIP 2.17 e precedenti. La descrizione ufficiale copre specificamente la versione 2.17 e versioni più vecchie. Lo stato di versioni successive non è dichiarato nei dati.
- Correzione
- Non disponibile al momento della revisione NVD (2026-09-18). Nessuna versione corretta è stata rilasciata secondo i dati forniti.
- Stato
- Vulnerabilità pubblica recentemente divulgata (2026-09-18). Repository pubblico su GitHub dichiara la presenza di exploit (osservato 2026-10-31). PJSIP è libreria open source ampiamente utilizzata per comunicazioni multimedia.
- Azione
- Inventariare applicazioni che usano PJSIP, specialmente quelle che elaborano AVI da fonti esterne. Disabilitare il parser AVI se non essenziale. Limitare e controllare l'accesso a file AVI non attendibili. Monitorare continuamente gli aggiornamenti di sicurezza ufficiali di PJSIP e applicare patch non appena disponibile.
Fonti: NVD, CVE-2026-77396