CVE-2021-21382

Restund açık kaynaklı bir NAT traversal sunucusudur. restund TURN sunucusu, loopback adres aralığına bir röle açması için yönlendirilebilir. Bu durum, localhost üzerinde çalışan ve özel olarak değerlendirebileceğiniz diğer herhangi bir servise erişmenize olanak tanır. Sunduğumuz yapılandırmada (https://github.com/wireapp/ansible-restund/blob/master/templates/restund.conf.j2#L40-L43), restund'un `status` arayüzü etkinleştirilmiştir ve `127.0.0.1` üzerinden dinleme yapmaktadır. `status` arayüzü, kullanıcıların açık röleleri listelemek veya bağlantıları boşaltmak gibi yönetici komutlarını `restund`'a iletmesine izin verir. Bir saldırganın, bir TURN kanalı açarken `XOR-PEER-ADDRESS` değerini `127.0.0.1:{{restund_udp_status_port}}` olarak ayarlayarak status arayüzüyle iletişim kurması ve yönetici komutları yürütmesi mümkün olabilir. Artık loopback adreslerine, 'any' adreslerine, link local adreslerine ve yayın (broadcast) adresine röle yapılmasını açıkça yasaklıyoruz. Geçici bir çözüm olarak, restund yapılandırmanızdaki `status` modülünü devre dışı bırakın. Ancak, `127.0.0.0/8` üzerinde hala dışarıya açılmasını istemediğiniz başka servisler çalışıyor olabilir. `turn` modülü devre dışı bırakılabilir. Restund hala STUN işlemini gerçekleştirmeye devam edecektir ve bu, ortamlarınızda aramaları başlatmak için yeterli olabilir. TURN, yalnızca diğer NAT traversal seçenekleri çalışmadığında son çare olarak kullanılır. Ayrıca, TURN sunucusunun, röle yapmasını istemediğiniz diğer adreslere röle yapamayacak şekilde güvenlik duvarı kurallarıyla yapılandırıldığından emin olunmalıdır; örneğin, TURN sunucusunun çalıştığı aynı VPC içindeki diğer servisler. İdeal olarak TURN sunucuları, NAT-traversal yardım görevlerini yerine getirmek için yalnızca ulaşmaları gereken yerlere ulaşabilecekleri izole bir şekilde konuşlandırılmalıdır.