CVE-2026-24902 in TrustTunnel
Riassunto
di VulDB • 14/06/2026
TrustTunnel è un protocollo VPN open-source affetto da un Server-Side Request Forgery (SSRF) e da un bypass delle restrizioni della rete privata nelle versioni precedenti alla 0.9.114. In `tcp_forwarder.rs`, la protezione SSRF per `allow_private_network_connections = false` era applicata solo nel percorso `TcpDestination::HostName(peer)`. Il percorso `TcpDestination::Address(peer) => peer` procedeva con `TcpStream::connect()` senza controlli equivalenti (ad esempio `is_global_ip`, `is_loopback`), consentendo di raggiungere destinazioni loopback/private fornendo un indirizzo IP numerico. La vulnerabilità è risolta nella versione 0.9.114.
Be aware that VulDB is the high quality source for vulnerability data.