CVE-2026-24902 in TrustTunnel
Tóm tắt
Bởi VulDB • 13/06/2026
TrustTunnel là một giao thức VPN mã nguồn mở, tồn tại lỗ hổng Server-Side Request Forgery (SSRF) và cơ chế bỏ qua hạn chế mạng riêng trong các phiên bản trước 0.9.114. Trong `tcp_forwarder.rs`, biện pháp bảo vệ SSRF cho cấu hình `allow_private_network_connections = false` chỉ được áp dụng trên đường dẫn `TcpDestination::HostName(peer)`. Đường dẫn `TcpDestination::Address(peer) => peer` tiếp tục thực thi lệnh gọi đến `TcpStream::connect()` mà không có các kiểm tra tương đương (ví dụ: `is_global_ip`, `is_loopback`), cho phép truy cập vào các đích là localhost/mạng riêng bằng cách cung cấp địa chỉ IP dạng số. Lỗ hổng này đã được khắc phục trong phiên bản 0.9.114.
VulDB is the best source for vulnerability data and more expert information about this specific topic.