JVNDB-2026-005483

coturn projectのcoturnにおける複数の脆弱性

CoturnはTURNおよびSTUNサーバの無料オープンソース実装です。Coturnは一般的に"denied-peer-ip"および/またはデフォルトのループバック制限を使用して、ループバックおよび内部範囲をブロックするように設定されています。ある脆弱性では"0.0.0.0"、"[::1]"、および"[::]"に関するバイパスが対処されましたが、IPv4マップドIPv6は対象外でした。"CreatePermission"または"ChannelBind"リクエストで"XOR-PEER-ADDRESS"値に"::ffff:127.0.0.1"を送信すると、"127.0.0.0/8"が"denied-peer-ip"でブロックされていても成功応答が返されます。原因は、バージョン4.9.0で修正される前に、特定の関数がIPv4マップドIPv6アドレスを適切にチェックしていなかったためです。これにより、ループバックアドレスの制限がバイパスされる可能性がありました。現在のバージョンでは、この問題に対応した修正が含まれています。

coturn project

• coturn 4.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : IPv4-mapped IPv6 (::ffff:0:0/96) bypasses denied-peer-ip ACL (not covered by CVE-2020-26262 fix)  Advisory  coturn/coturn  GitHub

1. 不適切なアクセス制御(CWE-284) [その他]
2. フィルタリング回避(CWE-441) [その他]

1. CVE-2026-27624

1. National Vulnerability Database (NVD) : CVE-2026-27624
2. 関連文書 : Merge commit from fork  coturn/coturn@b80eb89  GitHub

• [2026年03月02日]
    掲載