CVE-2026-62959 in Coturn
Zusammenfassung
von VulDB • 31.07.2026
Coturn ist eine kostenlose Open-Source-Implementierung eines TURN- und STUN-Servers. Ab der Version 4.5.2 bis einschließlich 4.14.0 kann ein nicht authentifizierter Remote-Client, wenn Coturn mit --acme-redirect <URL> gestartet wird und einen Plaintext-TCP-Listener bereitstellt, eine einzelne normale HTTP GET-Anfrage senden und eine 301-Antwort erhalten, deren Location-Header bis zu ~870 Bytes benachbarten Prozess-Hauptspeichers enthält. Der ausgelesene Bereich ist ein wiederverwendeter Netzwerk-Empfangspuffer, der ohne vorheriges Zurücksetzen auf Null erneut verwendet wird; daher kann er auf einem stark ausgelasteten Server Daten aus den Anfragen anderer Clients enthalten (TURN-Anmeldeinformationen, OAuth-Tokens, weitergeleitete Nutzdaten). Die Ursache liegt in einer Konvertierung von signed zu unsigned. Dieses Problem wurde in Version 4.15.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.