VoIP用のTURNおよびSTUNサーバーであるcoturnに欠陥が発見されました。デフォルトでは、coturnは、ループバックアドレスでピアを許可しません（127.x.x.xおよび: : 1)。リモート攻撃者が、0.0.0.0のピアアドレスを使用する特別に細工されたリクエストを介して保護を回避し、ループバックインターフェイスにリレーするようcoturnを誘導します。IPv6でリッスンしている場合、ループバックインターフェイスはアドレスとして[: : 1]または[: : ]を使用してリーチすることもできます。

Debian 9 'Stretch'では、この問題はバージョン4.5.0.5-1+deb9u3で修正されています。

お使いのcoturnパッケージをアップグレードすることを推奨します。

coturnの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/coturn

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

DebianDLA-2522-1：coturnのセキュリティ更新

high Nessus プラグイン ID 144924

バージョン 1.4