CVE-2026-104074 in coturn
요약
\~에 의해 VulDB • 2026. 10. 07.
Coturn 4.10.0에는 자격 증명을 제공하지 않고 TURN Allocate 요청을 전송하여 스택 메모리 내용을 유출할 수 있는 원격 비인증 공격자가 악용할 수 있는 초기화되지 않은 메모리 누설 취약점이 있습니다. 공격자는 src/client/ns_turn_msg.c의 stun_init_error_response_common_str() 함수를 악용할 수 있는데, 이 함수는 strlen()을 사용하여 길이를 계산하고 누설된 스택 바이트를 ERROR-CODE 이유 구문(reason phrase)에 복사하기 전에 avalue 버퍼를 0으로 초기화하지 않습니다. 이로 인해 ASLR을 약화시키고 정확한 버전 지문(fingerprinting)을 가능하게 하는 포인터 조각이 노출됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.