リモートの Debian 9 ホストには、dla-3036 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - PJSIP はフリーでオープンソースのマルチメディア通信ライブラリで、C 言語で書かれています。バージョン 2.12以前には、サービス拒否の脆弱性があり、PJSIP の XML 解析をアプリで使用する PJSIP ユーザーに影響を与えます。ユーザーは更新することが推奨されています。既知の回避策はありません。(CVE-2022-24763)

  - PJSIP は C で書かれたフリーのオープンソースのマルチメディア通信ライブラリです。サービス拒否の脆弱性は、無効な WAV ファイルの再生/読み取りの前に、PJSIP バージョン 2.12以前を使用する 32 ビットシステムのアプリケーションに影響を与えます。この脆弱性は、31 ビット整数を超える長さの WAV ファイルデータチャンクを読み取るときに発生します。この脆弱性は 64 ビットのアプリには影響せず、信頼できる WAV ファイルのみを再生するアプリには影響しません。パッチが「pjsip/project」GitHub リポジトリの「master」ブランチで利用可能です。
    回避策として、アプリが不明なソースから受信した WAV ファイルを拒否するか、最初にファイルを検証することができます。
    (CVE-2022-24792)

  - PJSIP は C で書かれたフリーのオープンソースのマルチメディア通信ライブラリです。2.12 以前のバージョンのバッファオーバーフローの脆弱性は、PJSIP DNS 解決を使用するアプリケーションに影響を与えます。外部リゾルバーを利用する PJSIP ユーザーには影響しません。パッチが「pjsip/pjproject」GitHub リポジトリの「master」ブランチで利用可能です。回避策は、PJSIP 構成で DNS 解決を無効にするか (「nameserver_count」をゼロに設定)、代わりに外部リゾルバーを使用することです。(CVE-2022-24793)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3036-1: pjproject - LTS セキュリティ更新

high Nessus プラグイン ID 161794

変更ログが見つかりません