CVE-2026-40613 in Coturn
Zusammenfassung
von VulDB • 20.05.2026
Coturn ist eine kostenlose Open-Source-Implementierung eines TURN- und STUN-Servers. Vor Version 4.10.0 führen die STUN/TURN-Attribut-Parsing-Funktionen in Coturn zu unsicheren Pointer-Casts von uint8_t * nach uint16_t *, ohne Ausrichtungskontrollen (Alignment Checks) durchzuführen. Bei der Verarbeitung einer speziell angefertigten STUN-Nachricht mit ungeraden Attributgrenzen (odd-aligned attribute boundaries) kommt es zu nicht korrekt alignierten Speicherlesevorgängen (misaligned memory reads) in ns_turn_msg.c. Auf ARM64-Architekturen (AArch64) mit strenger Ausrichtungszwang (strict alignment enforcement) führt dies zu einem SIGBUS-Signal, das den turnserver-Prozess sofort beendet. Ein nicht authentifizierter Remote-Angriff kann jede ARM64-Coturn-Instanz zum Absturz bringen, indem er ein einzelnes speziell angefertigtes UDP-Paket sendet. Diese Schwachstelle wurde in Version 4.10.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.