CVE-2020-26262

Coturn, TURN və STUN serverinin pulsuz açıq mənbəli tətbiqidir. Versiya 4.5.2-dən əvvəlki Coturn versiyaları standart olaraq peer-lərin `127.x.x.x` diapazonundakı loopback ünvanlarına qoşulmasına və paketləri ötürməsinə icazə vermir. Lakin müşahidə edilmişdir ki, `XOR-PEER-ADDRESS` dəyəri `0.0.0.0` olan `CONNECT` sorğusu göndərildikdə uğurlu cavab alınır və ardınca `CONNECTIONBIND` də uğurlu cavab alır. Bundan sonra Coturn paketləri loopback interfeysinə ötürə bilir. Əlavə olaraq, coturn standart olaraq IPv6-da dinlədikdə, peer ünvanı kimi `[::1]` və ya `[::]` istifadə etməklə loopback interfeysinə də çatmaq mümkündür. Peer ünvanı kimi `0.0.0.0` ünvanından istifadə edərək, bədniyyətli istifadəçi, `--denied-peer-ip=0.0.0.0` (və ya oxşar) parametr təyin edilməyibsə, paketləri loopback interfeysinə ötürə biləcəkdir. Standart konfiqurasiya loopback peer-lərə icazə verilməməsini nəzərdə tutduğu üçün, coturn administratorları `denied-peer-ip` parametrini təyin etməməyi seçə bilərlər. Problem 4.5.2 versiyasında aradan qaldırılmışdır. Müvəqqəti həll yolu kimi, `--allow-loopback-peers` parametri təyin edilməyibsə, `0.0.0.0/8`, `[::1]` və `[::]` ünvan blokundakı ünvanlara standart olaraq icazə verilməməlidir.