¿Qué es CVE-2026-106804?

Se ha documentado una vulnerabilidad crítica de desbordamiento de búfer basada en pila bajo el identificador CVE-2026-106804 que afecta al servidor SIP Kamailio gestión de componentes y librerías.

Esta debilidad cuenta con una puntuación CVSS de 7.5, lo que refleja un riesgo elevado para los despliegues de red expuestos a internet, alineándose con otras incidencias graves como problemas de control de privilegios local y fallos analizados en módulos de software.

¿A quién afecta esta vulnerabilidad en Kamailio?

El fallo de seguridad afecta específicamente a las versiones v6.1.3 y v6.1.4 de Kamailio, concretamente dentro de su módulo ims_qos_npn.

La función w_rx_aar_register() realiza una copia del campo host, controlado por un atacante, extraído de la cabecera SIP Via hacia un búfer de pila fijo de solo 46 bytes, omitiendo cualquier validación de longitud previa.

¿Por qué se produce una denegación de servicio?

Un atacante remoto y no autenticado puede aprovechar este vector enviando una petición SIP REGISTER manipulada con fines maliciosos.

Esta cabecera construida de forma específica provoca una corrupción de la pila de memoria y la posterior terminación abrupta de la instancia de Kamailio afectada, generando una denegación de servicio total.

¿Cómo me protejo?

Para mitigar los riesgos asociados a este desbordamiento de búfer en entornos de producción, es necesario aplicar medidas preventivas inmediatas mientras se liberan las correcciones oficiales.

A continuación se detallan los pasos recomendados para proteger los servidores expuestos:

  1. Verifique si sus instancias en ejecución corresponden a las versiones v6.1.3 o v6.1.4 del software Kamailio.
  2. Deshabilite el módulo ims_qos_npn en los archivos de configuración si su arquitectura no depende de las funciones IMS QoS.
  3. Configure pasarelas o cortafuegos perimetrales para inspeccionar y bloquear peticiones SIP REGISTER con anomalías en la cabecera Via.
  4. Supervise los registros del sistema para detectar reinicios inesperados o fallos de segmentación asociados al proceso principal.