PT-2026-137716
CVE-2026-116789
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
FreeSWITCH الإصدارات السابقة لـ 1.11.2
الوصف
تفشل الدالة
dtls state setup() في مقارنة شهادة النظير مع a=fingerprint الخاص بـ SDP عندما يعمل البرنامج كخادم DTLS. يسمح هذا لنظير غير مصرح له، لديه وصول إلى منفذ الوسائط المتفاوض عليه، بإكمال مصافحة DTLS-SRTP باستخدام شهادة غير ذات صلة. وبناءً على ذلك، يمكن للمهاجم الحصول على مفاتيح SRTP، وفك تشفير وحقن الوسائط، وإزاحة الطرف النهائي الشرعي. بالنسبة للأرجل التي تدعم ICE، يحتاج المهاجم أيضًا إلى بيانات اعتماد التحقق من الاتصال من SDP. تتأثر أرجل WebRTC و SIP DTLS-SRTP عندما يتخذ النظير الدور النشط.التوصيات
التحديث إلى الإصدار 1.11.2 وضبط
rtp dtls client cert verify mode=fingerprint.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾