CVE-2026-24902 in TrustTunnel
摘要
由 VulDB • 2026-06-13
TrustTunnel是一个开源VPN协议，在0.9.114之前的版本中存在服务器端请求伪造（SSRF）以及私有网络限制绕过漏洞。在`tcp_forwarder.rs`中，针对`allow_private_network_connections = false`的SSRF保护仅在`TcpDestination::HostName(peer)`路径下应用。而`TcpDestination::Address(peer) => peer`路径直接调用`TcpStream::connect()`，未执行等效检查（例如`is_global_ip`、`is_loopback`），导致通过提供数字IP地址即可访问回环/私有目标。该漏洞已在0.9.114版本中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.