W serwerze Coturn (TURN/STUN) w wersjach od 4.5.2 do 4.14.0 nieuwierzytelniony atakujący może wysłać pojedyncze żądanie HTTP GET i w odpowiedzi 301 otrzymać do ~870 bajtów surowej pamięci heap procesu. Wyciek może ujawniać dane innych klientów, takie jak poświadczenia TURN, tokeny OAuth lub treści przekazywanych pakietów.
▸ Pokaż oryginał (EN)
Coturn is a free open source implementation of TURN and STUN Server. From 4.5.2 through 4.14.0, when Coturn is started with --acme-redirect <URL> and exposes a plaintext-TCP listener, an unauthenticated remote client can send a single ordinary HTTP GET request and receive a 301 response whose Location header contains up to ~870 bytes of adjacent process heap memory. The leaked region is a recycled network receive buffer that is reused without being zeroed, so on a busy server it can contain data from other clients' requests (TURN credentials, OAuth tokens, relayed payloads). Root cause is a signed→unsigned conversion. This issue is fixed in version 4.15.0.
Podatność jest aktywna, gdy Coturn uruchomiono z opcją --acme-redirect <URL> i wystawionym słuchaczem TCP w trybie plaintext. Bufor sieciowy używany do odbierania żądań jest ponownie wykorzystywany bez wcześniejszego zerowania (recykl bufora). Błąd konwersji ze znaku (signed) na bez znaku (unsigned) powoduje, że w nagłówku Location odpowiedzi 301 umieszczane są dane poza granicami zamierzonego bufora (CWE-125 — out-of-bounds read). W efekcie do 870 bajtów sąsiadującego obszaru heap trafia do odpowiedzi HTTP.
Atakujący bez żadnego uwierzytelnienia może pozyskać poufne dane z pamięci procesu, w tym poświadczenia TURN, tokeny OAuth oraz treści pakietów retransmitowanych przez inne sesje klientów.
Należy zaktualizować Coturn do wersji 4.15.0, w której błąd został naprawiony. Jako obejście tymczasowe można wyłączyć opcję --acme-redirect lub zablokować dostęp do plaintext-TCP listenera z niezaufanych sieci.
Coturn w wersjach od 4.5.2 do 4.14.0 uruchomiony z opcją --acme-redirect i wystawionym plaintext-TCP listenerem.
Błąd wynika z nieprawidłowej konwersji signed→unsigned (CWE-195). Fix dostępny w commicie 960835886692fa04cf63ddd970c3f330740c87f4 oraz w wydaniu 4.15.0.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X