PT-2026-21865 · Coturn · Coturn

T1Xster-Secreporter · Publicado 2026-02-23 · Atualizado 2026-03-15 · CVE-2026-27624

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Coturn anteriores à 4.9.0

Descrição O Coturn, uma implementação gratuita de código aberto de servidor TURN e STUN, é suscetível a uma burla das restrições de loopback e de intervalos internos. Especificamente, configurações que utilizam "denied-peer-ip" para bloquear loopback e intervalos internos podem ser contornadas ao enviar uma solicitação "CreatePermission" ou "ChannelBind" com o valor de "XOR-PEER-ADDRESS" definido como "::ffff:127.0.0.1". Isso ocorre devido a verificações insuficientes para endereços IPv6 mapeados para IPv4 nas funções ioa addr is loopback(), ioa addr is zero() e addr less eq() do arquivo "src/client/ns turn ioaddr.c" nas versões anteriores à 4.9.0. A causa raiz é que essas funções não verificam IN6 IS ADDR V4MAPPED.

Recomendações As versões anteriores à 4.9.0 devem ser atualizadas para a versão 4.9.0 ou superior.

Exploit

Correção

Improper Access Control

Enumeração de Fraquezas

CWE-441

CWE-284

Identificadores relacionados

BDU:2026-04350

CVE-2026-27624

GHSA-6G6J-R9RF-CM7P

GHSA-J8MM-MPF8-GVJG

MGASA-2026-0051

OPENSUSE-SU-2026:10375-1

Produtos afetados

Coturn

Referências · 25

• 🔥 https://github.com/coturn/coturn/security/advisories/GHSA-j8mm-mpf8-gvjg · Exploit
• 🔥 https://github.com/coturn/coturn/security/advisories/GHSA-6g6j-r9rf-cm7p · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27624.json · Exploit
• https://github.com/coturn/coturn/commit/b80eb898ba26552600770162c26a8ae7f3661b0b · Correção
• https://osv.dev/vulnerability/MGASA-2026-0051 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-27624 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-27624 · Nota de Segurança
• https://twitter.com/enablesecurity/status/2026598114920927666 · Publicação no Twitter
• https://twitter.com/cracbot/status/2028425217954238933 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27624 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-27624 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2026641344664318086 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-27624 · Aviso do Fabricante
• https://t.me/cveNotify/153102 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2025-69217 · Nota