Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PJSIP は、C 言語で書かれたフリーのオープンソースマルチメディア通信ライブラリで、SIP、SDP、RTP、STUN、TURN、ICE などの標準ベースのプロトコルを実装しています。バージョン 2.10 以前では、PJSIP トランスポートは、同じ IP アドレス + ポート + プロトコルである場合、再利用できます。ただし、これではリモートホスト名認証がないため、安全に転送するには不十分です。IP アドレス の「sip.foo.com」への TLS 接続を作成したとします100.1.1.1 別のホスト名に対する TLS 接続を作成する場合は、同じ IP アドレスを持つ「sip.bar.com」を使用します。すると、「100.1.1.1」が「」として認証するための証明書を持っていなくても、既存の接続を再利用しますsip.bar.com`。この脆弱性により、ユーザーの認識なしで安全でないやり取りが可能になります。これは、同じアドレスに変換される異なる宛先への接続にアクセスする必要があるユーザーに影響を与え、DNS なりすましの場合など攻撃者が接続を別の宛先へルーティングできる場合には中間者攻撃が可能になります。
    (CVE-2020-15260)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2020-15260

medium Nessus プラグイン ID 257412

バージョン 1.2