CVE-2026-24904 in TrustTunnel
要約
〜によって VulDB • 2026年06月28日
TrustTunnelは、バージョン0.9.115以前のルールバイパス問題を抱えるオープンソースのVPNプロトコルです。`tls_listener.rs`において、`TlsListener::listen()`は1024バイトをピークし、`extract_client_random(...)`を呼び出します。`parse_tls_plaintext`が失敗した場合（例えば、TCP書き込み間で分割されたフラグメント化/部分的なClientHelloの場合）、`extract_client_random`は`None`を返します。`rules.rs`において、`RulesEngine::evaluate`は`client_random`が`Some(...)`である場合にのみ`client_random_prefix`を評価します。その結果、抽出に失敗した場合（`client_random == None`）、`client_random_prefix`の一致に基づくルールはすべてスキップされ、評価は後続のルールへとフォールスルーします。重要なセマンティクスに関する注記として：`client_random_prefix`はマッチ条件のみです。それ自体が「不一致のプレフィックスをブロックする」ことを意味するものではありません。`client_random_prefix = ...`を持つルールは、プレフィックスが一致し（かつ評価可能なフィールドが存在する場合）にのみその`action`を発動します。不一致（または`None`）はそのルールには単純にマッチせず、フォールスルーして続行されます。この脆弱性はバージョン0.9.115で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.