CVE-2026-43994
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
W Coturn przed wersją 4.10.0 wykryto przepełnienie bufora stosu w funkcji decode_oauth_token_gcm(). Atakujący może dostarczyć token OAuth z polem nonce_len o wartości do 65535, które jest bezpośrednio używane w memcpy() do kopiowania danych do 256-bajtowego bufora na stosie, co prowadzi do zapisu do 735 bajtów poza bufor. Przepełnienie następuje przed weryfikacją uwierzytelnienia AES-GCM, więc atakujący nie potrzebuje klucza OAuth ani ważnego tokena.
Ocena ryzyka
Podatność może umożliwić zdalne wykonanie kodu (RCE) w trybie --oauth, który jest powszechnie zalecany dla WebRTC TURN/STUN. Ze względu na szerokie wdrożenie Coturn, ryzyko dla organizacji jest znaczące, szczególnie przy braku odpowiednich zabezpieczeń pamięci.
Rekomendacja
Należy natychmiast zaktualizować Coturn do wersji 4.10.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie trybu --oauth do czasu wdrożenia poprawki.
Oryginalny opis (angielski, źródło NVD)
Coturn is a free open source implementation of TURN and STUN Server. Versions prior to 4.10.0 contain a stack buffer overflow in decode_oauth_token_gcm(). A uint16_t nonce_len field read from an attacker-supplied OAuth access token (0-65535) is passed directly to memcpy() as the copy length into a 256-byte stack buffer (oauth_encrypted_block.nonce[256]) without bounds checking. The overflow occurs before AES-GCM authentication is verified, the attacker does not need to know the OAuth key or produce a valid AES-GCM token. Up to 735 bytes of attacker-controlled data are written past the buffer, may corrupt adjacent stack data, including control-flow data depending on compiler, ABI, and mitigations. Requires --oauth mode (non-default). This may provide a plausible RCE primitive depending on exploit mitigations; because coturn is widely deployed for WebRTC TURN/STUN and --oauth is commonly recommended, impact can be broad. This issue has been fixed in version 4.10.0.