CVE-2026-45084

Nome do Software Vulnerável e Versões Afetadas OpenSIPS versões 3.4.0 through 3.6.5

Description Um problema de negação de serviço existe no módulo de presença deste servidor Session Initiation Protocol (SIP). Quando a função handle publish() processa uma requisição SIP PUBLISH contendo um cabeçalho Event: presence e um corpo de mensagem enquanto a opção de configuração enable sphere check=1 está ativa, ela chama a macro get content type() sem executar previamente a parse content type hdr(). Essa sequência leva à desreferenciação de um estado de análise de Content-Type não inicializado ou NULL, resultando no travamento do sistema. Especificamente, se o cabeçalho Content-Type estiver presente, mas não analisado, msg->content type->parsed é NULL; se o cabeçalho estiver totalmente ausente, msg->content type é NULL. Um invasor remoto pode causar esse travamento por meio de uma única requisição PUBLISH via UDP ou TCP. O caminho de código vulnerável não impõe autenticação.

Recommendations Atualize para a versão 3.6.6 ou 4.0.0-rc1. Como mitigação temporária, defina a opção de configuração enable sphere check como 0.