CVE-2022-23608

PJSIP tiene un use-after-free en escenarios de conjunto de diálogos (forking): una clave hash compartida por múltiples diálogos UAC puede liberarse prematuramente cuando un diálogo se destruye, lo que puede registrar un conjunto de diálogos en la tabla hash múltiples veces y conducir a un comportamiento indefinido —colisiones de la lista de diálogos que terminan en un bucle infinito—. PJSIP sustenta las pilas SIP/VoIP, así que el impacto práctico es una ruta activable de forma remota hacia la corrupción de memoria y la denegación de servicio en la infraestructura de telefonía, con el techo de comportamiento indefinido que implica un use-after-free.

El vector marca alta complejidad de ataque, y la descripción explica por qué: depende de una condición específica de forking/conjunto de diálogos y de un orden particular de destrucción, no de un solo paquete trivial. Así que, aunque es accesible por red y no autenticado, dirigir de forma confiable el use-after-free requiere más que spray-and-pray: este es un atacante capaz que apunta a un servicio SIP, no una botnet de una sola línea. Donde aterriza, un servicio de voz colgado o caído es un golpe genuino de disponibilidad para cualquiera que dependa de esa ruta de telefonía, y la corrupción de memoria siempre acarrea una cola de peor caso.

Como PJSIP es una biblioteca embebida, nuestro manejo es el inventario de dependencias a lo largo de los productos que la incluyen: el CVE abarca Asterisk, Certified Asterisk, Debian y el propio PJSIP. El trabajo es mapear qué sistemas VoIP en el parque se construyen sobre la biblioteca afectada 2.11.1 o anterior y llevarlos a builds que incluyan el commit de corrección. No hay soluciones alternativas del proveedor según el aviso, así que la aplicación de parches es el único remedio real; lo clasificamos según si el servicio SIP está expuesto a llamantes no confiables frente a estar confinado a una red de voz confiable.