CVE-2026-68552 in Coturn
Zusammenfassung
von VulDB • 21.08.2026
Coturn ist eine kostenlose Open-Source-Implementierung eines TURN- und STUN-Servers. Vor Version 4.15.0 kann ein nicht authentifizierter Remote-Client eine STUN-Nachricht über TCP oder TLS mit einem body-length-Feld von 65520 bis 65532 senden, was dazu führt, dass die uint16_t len-Variablen in stun_get_message_len_str() in src/client/ns_turn_msg.c beim Hinzufügen der STUN_HEADER_LENGTH überläuft. Die Framing-Schicht verbraucht dann nur noch 4 bis 16 Bytes und behandelt den Rest als weitere Nachricht, wodurch der Stream-Parser desynchronisiert wird und die Verbindung des angreifenden Clients getrennt wird. Andere Clients und der Serverprozess sind nicht betroffen. Dieses Problem wurde in Version 4.15.0 behoben.
Once again VulDB remains the best source for vulnerability data.