リモートの Fedora 44 ホストには、FEDORA-2026-50c75def83 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    #コターン 4.17.2

    ## 変更内容
      * クライアント向けソケットで 1 に固定されている送信 UDP TTL を修正

    #コターン 4.17.1
      * ゲートは、より多くのテストパッケージでマージします
      * build:「configure」での ginstall 検出のドロップ
      * ソケットが閉じる前のフラッシュ

    #コターン 4.17.0

    ## アップグレードに関する注意事項 このリリースでは、3 つのデフォルトが変更されました。アップグレードする前に、これらをお読みください。

    **DTLS リスナーがオプトインできるようになりました**。「--dtls」が指定されない限り、サーバーは DTLS リスナーを起動しなくなりました。デフォルトで DTLS の起動に依存しているデプロイメントは、アップグレード後に DTLS クライアントへのサービスをエラーなしで停止します。非推奨の「--no-dtls」/「--no-dtls=false」スペリングは今でも受け入れられており、現在は警告です。

    **ステートレスノンスはデフォルトでオンです**。チャレンジ nonce は、セッションごとに保存されるランダム値ではなく、認証されたタイムスタンプクッキーであるため、認証されていない UDP リクエストは、セッションを割り当てずにリスナーから応答されます。2 つの結果:

      * チャレンジ「NONCE」が 16 文字から 24 文字になりました。RFC 8489 では、クライアントはこれを最大 128 文字の不透明な文字列として扱う必要があるため、準拠しているクライアントは影響を受けません。「--stateless-nonce=false」は前の動作を復元します。
      * 署名鍵はプロセスごとに生成されるため、ロードバランサーの背後にある異なるインスタンスに着地する再試行と同様に、再起動には各クライアント 1 回の「438」再認証ラウンドトリップのコストがかかります。フリート全体で「--stateless-nonce-secret」を同じ値に設定して、この両方を回避します。

    **デフォルトのログ行が変更されました**。タイムスタンプはミリ秒の精度の ISO-8601 であり、スレッド ID はなくなり、フィールド区切り文字は ':' ではなく 1 つのスペースになり、各レコードは正確に 1 行を占めるようになりました。
    ログシッパーおよび全てのダウンストリーム解析は更新が必要です。デフォルトの行は現在です。

    ''' 2026-08-02T17:32:31.297-0700 情報 使用するリスナーアドレス: 127.0.0.1 '''

    「--new-log-timestamp=false」は、レガシーの seconds-sin-start カウンターを復元します。

    ## セキュリティ修正このリリースの 3 つの修正は、プライベートアドバイザリプロセスを通じて行われました。アドバイザリはまだ準備中です。このセクションは、公開されると識別子とともに更新されます。

      * **割り当てクォータが「--mobility」でバイパスされる可能性があります**。モビリティ割り当てを繰り返し作成して切断した認証されたクライアントは、割り当て、そのリレーソケットおよびそのチケットが有効である間、そのクォータが解放され、1人のユーザーがリレーポート範囲を使い果たすまで「--user-quota」/「--total-quota」をはるかに超えて割り当てを保持できるようになっていました。現在、充電は最終的な分解まで保持されています。回帰カバレッジ:「examples/run_tests_mobility_quota.sh」。
      * **DTLS は、クッキーが検証される前にピアごとの状態を割り当てます**。未検証の(そして偽装された可能性がある)ソースからの ClientHello により、ソースが完全な SSL、ソケットおよびセッションの割り当てが、ソースがリターンのルーティング可能性を証明する前に、行われました。クッキーの交換は、「DTLSv1_listen()」を介してステートレスに実行されるようになったため、応答のない ClientHello は、状態を残しません。これで、 4.16.0 で開始された強化が完了しました。
      * **R ビットの「EVEN-PORT」クリア漏洩したリレーポート**。この奇数兄弟ポートは、クライアントがそれを要求しておらず、決して解放されなかった場合でも予約されていたため、サーバーは「EVEN-PORT」をリクエストする新しい割り当てを最終的に拒否することになります。

    「--mobility」、DTLS を実行している、または「EVEN-PORT」割り当てを受け入れるすべてのユーザーに、アップグレードが推奨されます。

    ## 変更内容
      * 「get_user_key」エラーパス上の秘密リストを解放
      * ステートレスファストパスのバインド
      * Worktree ステートレス nonce mi fastpath
      * 「--dtls」が与えられた場合にのみ DTLS リスナーを起動します
      * カーネルにゼロの発信 IP TTL を求めません
      * 「--simple-log」をドロップし、「--log-file=stdout」と並べて no-op です
      * ロガーでの「localtime()」データ競合を修正します
      * ログ形式:デフォルトでの ISO-8601 タイムスタンプ、スレッド ID なし、スペース区切り記号
      * レガシーのランダムノンスを 16 文字のままにしておきます
      * レコードごとに 1 つのログ行だけを出力します
      * ステートレスなノンスをデフォルトで有効にします


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Coturn は、TURN および STUN サーバーの無料のオープンソース実装です。4.17.0より前に、src/apps/relay/turn_ports.cのturnports_allocate_even()は、RTCPソケットがリリースしない場合でも、予約ビットR=0で未使用の奇数兄弟ポートをEVEN-PORT AllocateリクエストのTPS_TAKEN_ODDとしてマークします。これにより、認証されたクライアントがリレーポートプールを永久に枯渇させ、STUNエラー508で後続の割り当てを失敗させる可能性があります。この問題はバージョン 4.17.0 で修正されています。
    (CVE-2026-73215)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-13e2cf6827 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    #コターン 4.17.2

    ## 変更内容
      * クライアント向けソケットで 1 に固定されている送信 UDP TTL を修正

    #コターン 4.17.1
      * ゲートは、より多くのテストパッケージでマージします
      * build:「configure」での ginstall 検出のドロップ
      * ソケットが閉じる前のフラッシュ

    #コターン 4.17.0

    ## アップグレードに関する注意事項 このリリースでは、3 つのデフォルトが変更されました。アップグレードする前に、これらをお読みください。

    **DTLS リスナーがオプトインできるようになりました**。「--dtls」が指定されない限り、サーバーは DTLS リスナーを起動しなくなりました。デフォルトで DTLS の起動に依存しているデプロイメントは、アップグレード後に DTLS クライアントへのサービスをエラーなしで停止します。非推奨の「--no-dtls」/「--no-dtls=false」スペリングは今でも受け入れられており、現在は警告です。

    **ステートレスノンスはデフォルトでオンです**。チャレンジ nonce は、セッションごとに保存されるランダム値ではなく、認証されたタイムスタンプクッキーであるため、認証されていない UDP リクエストは、セッションを割り当てずにリスナーから応答されます。2 つの結果:

      * チャレンジ「NONCE」が 16 文字から 24 文字になりました。RFC 8489 では、クライアントはこれを最大 128 文字の不透明な文字列として扱う必要があるため、準拠しているクライアントは影響を受けません。「--stateless-nonce=false」は前の動作を復元します。
      * 署名鍵はプロセスごとに生成されるため、ロードバランサーの背後にある異なるインスタンスに着地する再試行と同様に、再起動には各クライアント 1 回の「438」再認証ラウンドトリップのコストがかかります。フリート全体で「--stateless-nonce-secret」を同じ値に設定して、この両方を回避します。

    **デフォルトのログ行が変更されました**。タイムスタンプはミリ秒の精度の ISO-8601 であり、スレッド ID はなくなり、フィールド区切り文字は ':' ではなく 1 つのスペースになり、各レコードは正確に 1 行を占めるようになりました。
    ログシッパーおよび全てのダウンストリーム解析は更新が必要です。デフォルトの行は現在です。

    ''' 2026-08-02T17:32:31.297-0700 情報 使用するリスナーアドレス: 127.0.0.1 '''

    「--new-log-timestamp=false」は、レガシーの seconds-sin-start カウンターを復元します。

    ## セキュリティ修正このリリースの 3 つの修正は、プライベートアドバイザリプロセスを通じて行われました。アドバイザリはまだ準備中です。このセクションは、公開されると識別子とともに更新されます。

      * **割り当てクォータが「--mobility」でバイパスされる可能性があります**。モビリティ割り当てを繰り返し作成して切断した認証されたクライアントは、割り当て、そのリレーソケットおよびそのチケットが有効である間、そのクォータが解放され、1人のユーザーがリレーポート範囲を使い果たすまで「--user-quota」/「--total-quota」をはるかに超えて割り当てを保持できるようになっていました。現在、充電は最終的な分解まで保持されています。回帰カバレッジ:「examples/run_tests_mobility_quota.sh」。
      * **DTLS は、クッキーが検証される前にピアごとの状態を割り当てます**。未検証の(そして偽装された可能性がある)ソースからの ClientHello により、ソースが完全な SSL、ソケットおよびセッションの割り当てが、ソースがリターンのルーティング可能性を証明する前に、行われました。クッキーの交換は、「DTLSv1_listen()」を介してステートレスに実行されるようになったため、応答のない ClientHello は、状態を残しません。これで、 4.16.0 で開始された強化が完了しました。
      * **R ビットの「EVEN-PORT」クリア漏洩したリレーポート**。この奇数兄弟ポートは、クライアントがそれを要求しておらず、決して解放されなかった場合でも予約されていたため、サーバーは「EVEN-PORT」をリクエストする新しい割り当てを最終的に拒否することになります。

    「--mobility」、DTLS を実行している、または「EVEN-PORT」割り当てを受け入れるすべてのユーザーに、アップグレードが推奨されます。

    ## 変更内容
      * 「get_user_key」エラーパス上の秘密リストを解放
      * ステートレスファストパスのバインド
      * Worktree ステートレス nonce mi fastpath
      * 「--dtls」が与えられた場合にのみ DTLS リスナーを起動します
      * カーネルにゼロの発信 IP TTL を求めません
      * 「--simple-log」をドロップし、「--log-file=stdout」と並べて no-op です
      * ロガーでの「localtime()」データ競合を修正します
      * ログ形式:デフォルトでの ISO-8601 タイムスタンプ、スレッド ID なし、スペース区切り記号
      * レガシーのランダムノンスを 16 文字のままにしておきます
      * レコードごとに 1 つのログ行だけを出力します
      * ステートレスなノンスをデフォルトで有効にします


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
337077	Fedora 44:coturn(2026-50c75def83)	Nessus	Fedora Local Security Checks	2026/8/18	2026/8/18	high
334664	Linux Distros のパッチ未適用の脆弱性: CVE-2026-73215	Nessus	Misc.	2026/8/12	2026/9/14	high
337078	Fedora 43:coturn(2026-13e2cf6827)	Nessus	Fedora Local Security Checks	2026/8/18	2026/8/18	high

検出

プラグインの検索

high

high

high