CVE-2026-116784 Lectura fuera de límites en el análisis de feedback NACK de RTCP en FreeSWITCH
Antes de 1.11.2, process_rtcp_report() usaba la longitud declarada en el encabezado RTCP de un paquete RTPFB NACK como límite del bucle de entradas de feedback en lugar de la longitud del datagrama ya validada, permitiendo lecturas muy por fuera del búfer de recepción de 16 KiB. Cualquier par que pueda enviar RTCP a una videollamada activa alcanza la falla, incluso si el perfil SIP no tiene intervalo RTCP configurado. La lectura fuera de límites puede provocar un crash y terminar todas las llamadas activas, sin…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 39
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
signalwire freeswitch
< 1.11.2
Qué hacer
- Verificá si usás freeswitch y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
FreeSWITCH is a Software Defined Telecom Stack enabling the digital transformation from proprietary telecom switches to a software implementation that runs on any commodity hardware. Prior to 1.11.2, process_rtcp_report() used an RTPFB NACK packet's declared RTCP header length as its feedback-entry loop bound instead of the datagram length already validated by the caller. A short packet with an oversized declaration could drive reads far beyond the fixed 16 KiB receive buffer. Any peer able to send RTCP to an active video call can reach the flaw, including calls where remote SDP enables video RTCP even though the SIP profile has no explicit RTCP interval configured. The out-of-bounds read can crash FreeSWITCH and terminate every active call, but supplies no write primitive and does not echo the read values to the sender. This issue is fixed in version 1.11.2.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.