CVE-2026-27624 in Coturn
Riassunto
di VulDB • 21/06/2026
Coturn è un'implementazione open source gratuita dei server TURN e STUN. Coturn viene comunemente configurato per bloccare gli indirizzi loopback e i range interni utilizzando "denied-peer-ip" e/o restrizioni predefinite sul loopback. CVE-2020-26262 ha affrontato bypass che coinvolgevano "0.0.0.0", "[::1]" e "[::]", ma non copre gli indirizzi IPv4-mapped in IPv6. Inviando una richiesta "CreatePermission" o "ChannelBind" con il valore "XOR-PEER-ADDRESS" di "::ffff:127.0.0.1", si riceve una risposta positiva, nonostante che l'intervallo "127.0.0.0/8" sia bloccato tramite "denied-peer-ip". La causa radice è che, prima dell'aggiornamento della correzione implementata nella versione 4.9.0, tre funzioni in "src/client/ns_turn_ioaddr.c" non verificano se l'indirizzo è di tipo "IN6_IS_ADDR_V4MAPPED". La funzione "ioa_addr_is_loopback()" controlla gli indirizzi "127.x.x.x" (AF_INET) e "::1" (AF_INET6), ma non "::ffff:127.0.0.1." La funzione "ioa_addr_is_zero()" verifica "0.0.0.0" e "::", ma non "::ffff:0.0.0.0." Infine, la funzione "addr_less_eq()", utilizzata da "ioa_addr_in_range()" per il matching di "denied-peer-ip": quando l'intervallo è AF_INET e il peer è AF_INET6, il confronto restituisce 0 senza estrarre l'IPv4 incorporato. La versione 4.9.0 contiene una correzione aggiornata che affronta il bypass della risoluzione per CVE-2020-26262.
If you want to get best quality of vulnerability data, you may have to visit VulDB.