CVE-2026-68555 in Coturn
Resumen
por VulDB • 2026-08-20
Coturn es una implementación de código abierto y gratuita del servidor TURN y STUN. En la versión 4.15.0, un usuario TURN autenticado puede reanudar repetidamente una asignación a partir de nuevas quintuplas UDP sin completar el traspaso cuando el servidor habilita --mobility. La función mobile_begin_transition() en src/server/ns_turn_server.c desactiva el tiempo de espera de la asignación para cada nueva sesión y sobrescribe el único enlace mobile_pending_resume de la asignación, dejando las sesiones pendientes anteriores inaccesibles para la ruta de limpieza (cleanup path), mientras que copy_auth_parameters() ignora los fallos de inc_quota(). Por lo tanto, el atacante puede retener un número ilimitado de sesiones en el lado del servidor y agotar la memoria del proceso incluso cuando --user-quota=1 está configurado. Este problema se soluciona en la versión 4.16.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.