CVE-2021-21382

Restund açıq mənbəli NAT traversal serveridir. restund TURN serverinə loopback ünvan diapazonuna relay açmaq təlimatı verilə bilər. Bu, sizin şəxsi hesab etdiyiniz localhost üzərində işləyən hər hansı digər xidmətə daxil olmağa imkan verir. Təqdim etdiyimiz konfiqurasiyada (https://github.com/wireapp/ansible-restund/blob/master/templates/restund.conf.j2#L40-L43) restund-un `status` interfeysi aktivdir və `127.0.0.1` ünvanında dinləmə həyata keçirir. `status` interfeysi istifadəçilərə `restund`-a açıq relay-lərin siyahısını çıxarmaq və ya bağlantıları boşaltmaq kimi inzibati əmrlər verməyə imkan verir. Hücumçu TURN kanalı açarkən `XOR-PEER-ADDRESS` parametrini `127.0.0.1:{{restund_udp_status_port}}` olaraq təyin etməklə status interfeysi ilə əlaqə saxlaya və inzibati əmrlər verə bilərdi. Biz artıq loopback ünvanlarına, 'any' ünvanlarına, link local ünvanlarına və yayım (broadcast) ünvanına relay edilməsini qəti şəkildə qadağan edirik. Müvəqqəti həll yolu kimi restund konfiqurasiyanızda `status` modulunu deaktiv edin. Lakin `127.0.0.0/8` şəbəkəsində hələ də açıq qalmasını istəmədiyiniz digər xidmətlər ola bilər. `turn` modulu deaktiv edilə bilər. Restund hələ də STUN funksiyasını yerinə yetirəcək və bu, mühitinizdə zəngləri başlatmaq üçün kifayət edə bilər. TURN yalnız digər NAT traversal seçimləri işləmədikdə son çarə kimi istifadə olunur. Həmçinin, TURN serverinin firewall qaydaları ilə elə qurulduğundan əmin olun ki, o, TURN serverinin relay etməsini istəmədiyiniz digər ünvanlara relay edə bilməsin. Məsələn, TURN serverinin işlədiyi eyni VPC-dəki digər xidmətlərə. İdeal halda TURN serverlər, NAT-traversal köməyi göstərmək tapşırığını yerinə yetirmək üçün yalnız çatmalı olduqları yerlərə çata bildikləri izolyasiya edilmiş şəkildə tətbiq edilməlidir.