Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Coturn は、TURN および STUN Server の無料オープンソース実装です。Coturn は一般的に、 denied-peer-ip および/またはデフォルトのループバック制限を使用して、ループバックと内部範囲をブロックするように構成されます。
    CVE-2020-26262 は 0.0.0.0、[::1] および [::] を含むバイパスに対処しましたが、IPv4 にマッピングされた IPv6 はカバーされません。::ffff:127.0.0.1 の XOR-PEER-ADDRESS 値で CreatePermission または ChannelBind リクエストを送信すると、 127.0.0.0/8 が deny-peer-ip を介してブロックされているにもかかわらず、正常な応答が受信されます。根本的な原因は、バージョン 4.9.0に実装された更新済み修正より前に、src/client/ns_turn_ioaddr.c の 3 つの関数が IN6_IS_ADDR_V4MAPPED をチェックしないことです。 ioa_addr_is_loopback() は 127.x.x.x AF_INETおよび ::1AF_INET6をチェックしますが、::ffff:127.0.0.1 はチェックしません。 ioa_addr_is_zero() は 0.0.0.0 と :: をチェックしますが、::ffff:0.0.0.0 はチェックしません。 deny-peer-ip の照合に ioa_addr_in_range() によって使用される addr_less_eq() 範囲が AF_INET でピアが AF_INET6 である場合、比較は埋め込まれた IPv4 を抽出せずに 0 を返します。バージョン 4.9.0 には CVE-2020-26262、の修正のバイパスに対処する更新済みの修正が含まれています。CVE-2026-27624

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27624

medium Nessus プラグイン ID 299987

バージョン 1.2