Šta se desilo?

Otkrivena je kritična ranjivost u sngrep verziji 1.8.4 i starijim verzijama koja omogućava napadaču zloupotrebom SIP zaglavlja sa prevelikim vrednostima prouzrokuje prepunjavanje bafera na memorijskom stacku. Kroz posebno oblikovane SIP pakete sa prekoračenim poljem Call-ID, X-Call-ID ili drugim sličnim zaglavljima, napadač može izazvati pad aplikacije ili izvršiti proizvoljan kod tokom parsiranja i prikazivanja paketa.

Koga pogađa?

Ranjivost direktno utiče na sve korisnike sngrep alata verzije 1.8.4 i starije verzije. Sngrep je SIP protokol analizator koji se koristi za hvatanje i analizu SIP sesija, pa su potencijalne žrtve IT profesionalci, telekomunikacione kompanije, VoIP administratori i drugi korisnici koji koriste ovaj alat za rad sa SIP komunikacijama.

Kako se zaštititi?

  • Instalirajte paket distributera koji uključuje ispravku za CVE-2026-90558; proverite bezbednosnu reviziju paketa, a ne samo osnovni broj verzije
  • Do instaliranja ispravke izbegavajte obradu nepouzdanog SIP saobraćaja i PCAP fajlova
  • Ograničite izvore snimanog saobraćaja i pokrećite alat sa najmanjim potrebnim privilegijama
  • Nadgledajte logove aplikacije za znakove neobičnog ponašanja ili padova
  • Razmislite o korišćenju alternativnih alata dok se ažuriranje ne primeni

Tehnički detalji

CVE-2026-90558 je stack buffer overflow ranjivost sa CVSS 4.0 ocenom 9.3 prema VulnCheck-u (kritična). Ranjivost je locirana u rutinama za formatiranje SIP atributa i aktivira se kada vrednosti zaglavlja prekoraže limit od 255 bajtova. Napadač može koristiti specijalno oblikovane SIP pakete da aktivira ranjivost tokom faze parsiranja i prikaza paketa, što može rezultirati krahom aplikacije ili izvršavanjem proizvoljnog koda sa privilegijama procesa sngrep.

Ispravka postoji u izvornom kodu projekta. Debian za forky i sid navodi paket 1.8.4-2 kao ispravljen, dok su navedeni paketi za bookworm i trixie još označeni kao ranjivi. Zato tvrdnja da zakrpa ne postoji nije tačna. U korišćenim izvorima nema potvrde aktivnih napada.

Zašto je važno?

Rizik nastaje kada analizator obradi zlonameran saobraćaj ili snimak paketa. Posledice zavise i od privilegija pod kojima alat radi; nije neophodno da sam sngrep bude javno dostupan servis.

Preporuka Sajber Radara

Proverite status paketa kod svog distributera i primenite potvrđenu ispravku. Ne prebacujte produkcioni sistem na nestabilnu granu samo zbog broja verzije; do ažuriranja ograničite obradu nepouzdanih podataka.