There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - Coturn is a free open source implementation of TURN and STUN Server. Coturn is commonly configured to
    block loopback and internal ranges using "denied-peer-ip" and/or default loopback restrictions.
    CVE-2020-26262 addressed bypasses involving "0.0.0.0", "[::1]" and "[::]", but IPv4-mapped IPv6 is not
    covered. When sending a "CreatePermission" or "ChannelBind" request with the "XOR-PEER-ADDRESS" value of
    "::ffff:127.0.0.1", a successful response is received, even though "127.0.0.0/8" is blocked via "denied-
    peer-ip". The root cause is that, prior to the updated fix implemented in version 4.9.0, three functions
    in "src/client/ns_turn_ioaddr.c" do not check "IN6_IS_ADDR_V4MAPPED". "ioa_addr_is_loopback()" checks
    "127.x.x.x" (AF_INET) and "::1" (AF_INET6), but not "::ffff:127.0.0.1." "ioa_addr_is_zero()" checks
    "0.0.0.0" and "::", but not "::ffff:0.0.0.0." "addr_less_eq()" used by "ioa_addr_in_range()" for "denied-
    peer-ip" matching: when the range is AF_INET and the peer is AF_INET6, the comparison returns 0 without
    extracting the embedded IPv4. Version 4.9.0 contains an updated fix to address the bypass of the fix for
    CVE-2020-26262. (CVE-2026-27624)

  - Coturn is a free open source implementation of TURN and STUN Server. Prior to 4.10.0, the STUN/TURN
    attribute parsing functions in coturn perform unsafe pointer casts from uint8_t * to uint16_t * without
    alignment checks. When processing a crafted STUN message with odd-aligned attribute boundaries, this
    results in misaligned memory reads at ns_turn_msg.c. On ARM64 architectures (AArch64) with strict
    alignment enforcement, this causes a SIGBUS signal that immediately kills the turnserver process. An
    unauthenticated remote attacker can crash any ARM64 coturn deployment by sending a single crafted UDP
    packet. This vulnerability is fixed in 4.10.0. (CVE-2026-40613)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Coturn 是 TURN 與 STUN Server 的免費開源實作。Coturn 通常設定為透過拒絕對等 IP 和/或預設迴路限制來阻擋迴路與內部範圍。
    CVE-2020-26262 涉及 0.0.0.0[：：1] 和 [：：]的定址繞過，但 IPv4 映射的 IPv6 不在涵蓋範圍內。當發送 XOR-PEER-ADDRESS 值為 ：：ffff：127.0.0.1 的 CreatePermission 或 ChannelBind 請求時，即使 /8 被 denied-peer-ip 阻擋，仍能成功收到 127.0.0.0回應。根本原因是，在版本中實作 4.9.0的更新修正之前，src/client/ns_turn_ioaddr.c 中的三個函式不會檢查 IN6_IS_ADDR_V4MAPPED。ioa_addr_is_loopback（） 檢查 127.x.x.x （AF_INET） 和 ：：1 （AF_INET6），但不會檢查 ：：ffff：127.0.0.1。ioa_addr_is_zero（） 檢查 0.0.0.0 和 ：：，但不會 ：：ffff：0.0.0.0。addr_less_eq（） 用於拒絕 peer-ip 匹配的 ioa_addr_in_range（） ： 當範圍AF_INET且對等端AF_INET6時，比較回傳 0，且未擷取內嵌的 IPv4。版本 4.9.0 包含更新的修正，以解決繞過 的 CVE-2020-26262修正問題。（CVE-2026-27624）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Coturn 是 TURN 和 STUN Server 的免费开源实现。Coturn 通常配置为通过拒绝对等 IP 和/或默认环回限制来阻断环回和内部范围。
    CVE-2020-26262 涉及 0.0.0.0[：：1] 和 [：：]的寻址绕过，但不涵盖 IPv4 映射的 IPv6。当发送带有XOR-peer-address值：：ffff：127.0.0.1的CreatePerPermit或ChannelBind请求时，即使/8通过denied-peer-ip被阻挡，仍能成功收到 127.0.0.0响应。根本原因是，在版本 中实现 4.9.0的更新修复之前，src/client/ns_turn_ioaddr.c 中的三个函数不会检查 IN6_IS_ADDR_V4MAPPED。ioa_addr_is_loopback（） 检查 127.x.x.x （AF_INET） 和 ：：1 （AF_INET6），但不会检查 ：：ffff：127.0.0.1。ioa_addr_is_zero（） 检查 0.0.0.0 和 ：：，但不检查 ：：ffff：0.0.0.0。addr_less_eq（） 被 ioa_addr_in_range（） 用于拒绝对等 IP 匹配： 当范围AF_INET且对等端AF_INET6时，比较返回为0，且未提取嵌入的IPv4。版本 4.9.0 包含更新的修复，解决了绕过 的 CVE-2020-26262修复问题。（CVE-2026-27624）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - CoturnはTURNおよびSTUN Serverの無料オープンソース実装です。Coturnは一般的に、拒否されたピアIPやデフォルトのループバック制限を用いてループバックおよび内部範囲をブロックするよう設定されています。
    CVE-2020-26262 アドレスバイパスは 0.0.0.0、[::1]、[::]を含みますが、IPv4マッピングされたIPv6は対象外です。XOR-PEER-ADDRESS値が::ffff:127.0.0.1のCreatePermissionまたはChannelBindリクエストを送信すると、 127.0.0.0/8がdenied-peer-ipでブロックされていても、成功裏に応答が受信されます。根本原因は、バージョン 4.9.0で実装された修正が実装される以前、src/client/ns_turn_ioaddr.cの3つの関数がIN6_IS_ADDR_V4MAPPEDをチェックしなかったことです。ioa_addr_is_loopback()は 127.x.x.x (AF_INET)と::1(AF_INET6)をチェックしますが、::ffff:127.0.0.1はチェックしません。ioa_addr_is_zero()は 0.0.0.0 と::をチェックしますが::ffff:0.0.0.0はチェックしません。addr_less_eq()はioa_addr_in_range()が拒否されたピアIPマッチングに使用します: 範囲がAF_INETでピアがAF_INET6された場合、組み込みIPv4を抽出せずに比較は0を返します。バージョン 4.9.0 には、 CVE-2020-26262の修正バイパスに対応するための修正が更新されています。(CVE-2026-27624)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-2a1aa1f57f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    # Coreturn 4.9.0

    - 複数のセキュリティ修正
    - Web 管理者パスワードチェックの修正
    - 廃止された OpenSSL API のクリーンアップ
    - CVE-2026-27624の修正IPv4 にマッピングされた IPv6 を使用してローカルホストと IP 範囲ブロックをバイパスします


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、 FEDORA-2026-379e214a37 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    # Coreturn 4.9.0

    - 複数のセキュリティ修正
    - Web 管理者パスワードチェックの修正
    - 廃止された OpenSSL API のクリーンアップ
    - CVE-2026-27624の修正IPv4 にマッピングされた IPv6 を使用してローカルホストと IP 範囲ブロックをバイパスします


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-8cb5571ddc のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    # Coreturn 4.9.0

    - 複数のセキュリティ修正
    - Web 管理者パスワードチェックの修正
    - 廃止された OpenSSL API のクリーンアップ
    - CVE-2026-27624の修正IPv4 にマッピングされた IPv6 を使用してローカルホストと IP 範囲ブロックをバイパスします


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21184-1 アドバイザリで言及されています。

    コターンの変更:

    - バージョン 4.14.0 新規に更新してください
      * prometheus-client-c への依存関係を排除
      * prometheusクライアントのHTTPSサポート(オプション)
      * redis の TLS サポート - managed redis と互換性を持った(オプション)。
      * 401 認証されていない応答のレート制限 - coturn サーバーからの反射攻撃を低減させます。これは実験的な機能であり、本番環境規模のデプロイメントや大規模なDDoS攻撃では完全にはテストされていません。新しいプロメテウス カウンターは、実際の行動やパフォーマンスに光を当てるのに役立つはずです。この機能はデフォルトではオフになっています。
      変更点
      * hex デコード前に sqlite_get_user_key での hmackey の長さを検証します。
      * out-of-tree パッチを追加して、非推奨の OpenSSL 1.1.1を復元します。
      * Redis接続用のオプションのTLSトランスポートを追加します。
      * リレースレッドオーバーライドを修正します。
      * prometheus ホットパスカウンターを 1 秒に 1 回フラッシュし、ロック競合を kill します。
      * base64_decode での signed-char インデックスの領域外読み取りを修正します。
      * ベンダーのローカルソースから Prometheus エクスポーターを構築します。
      * プロム https.
      * レルムクォータデータの競合と警告を修正します。
      * UDP 401 承認されていない応答のソースごとのレート制限を追加します

    - バージョン 4.13.1 への更新
      * stun_is_challenge_response_str での NULL 終端server_name
      * ピア IP チェックの前に、すべての IPv4-in-IPv6 エンコーディングを正規化します。
      * coturn 自身のデータベースバックエンドエンドポイントをリレーピアとして自動拒否します。
      * デフォルトでは、link-local / ULA / site-local リレーピアを拒否します。

    - バージョン 4.13.0 への更新
      * あらゆる場所にアトミックをラップします。
      * multiplex-peer UDP バッチフラッシュの sendmmsg ストライドバグを修正します。
      * オブジェクトごとのタイマーの代わりにスレッドごとのスイープを介して TURN 権限/チャネルを獲得。
      * 出力 sendmmsg/UDP-GSO バッチ処理を観察するための --udp-sendmmsg-log を追加します。
      * recvmmsg/sendmmsg UDP バッチサイズを Prometheus メトリクスとして公開します
      * recvmmsg ファストパスを共有ファンインソケットに制限します(便利なスタンドアロン --udp-recvmmsg にします)。
      * Linux では、デフォルトで --udp-recvmmsg を有効にします。
      * セキュリティ強化:ポート解析、管理者のブルートフォーススロットル、認証情報ログの編集、一定時間の比較、OAuth 境界チェック、権限上限(#1932)。
      * stunclient に連続遅延モードを追加します。
      * test_redis_formatリンク障害を修正します。
      * 構成 MANPREFIX の誤字を修正します。
      * sqlite3 の依存関係の欠落を修正します。
      * UDP 受信バッファ所有権を修正します。

    - バージョン 4.12.0 への更新
      * khash を最新バージョン(#1919)に更新してください。
      * readme を更新し、最新の変更に一致させます(#1920)。
      * drop-invalid-packets および response-origin-only-with-rfc5780.* Multiplexpeer に関するドキュメントを更新します(#1916)。
      * TTL/TOS 型変換を修正します(#1915)。
      * turnutils_uclient:送信スレッドプール + UDP-GSO 送信バッチ + recv_ppsレポート(#1913)。
      * recvmmsg パスによってもたらされたメモリリークを修正します(#1912)。
      * turnutils_uclient:マルチスレッドリスナー(recv)プール。
      * examples/turnserver.conf:CLI オプションの説明を更新します。
      * turnutils_uclient:Linux recvmmsg 受信パス + より大きなSO_RCVBUF(#1910)。
      * UDP-GSO 送信パスを追加します(--udp-gso)(#1907)。
      * turnutils_peer:ドレインループのある Linux ファストパス、recvmmsg/sendmmsg、U(#1908)。
      * リレー:recvmmsg(#1906)。
      * fuzzing:HTTP EOH 辞書エントリに対して 16 進数エスケープを使用します。
      * turnserver の man ページを現在の CLI オプションと同期します(#1903)。
      * turnserver --helpから古い --ne オプションを削除します(#1904)。
      * CodeQLのアクセス許可、カテゴリ、手動ビルドモードを復元します。

    - バージョン 4.11.0 への更新
      * Filc ハーネスおよびポインター typedefs(#1896)。
      * turnutils_uclient(#1894)のロードジェネレーターモード。
      * TURN データパスハンドラーのキャッシュホットルックアップ(#1893)。
      * ヘッダーのインライン get_ioa_addr_len() (#1891)。
      * パケットごとのリレーホットパスから 2 つの冗長チェックを取り除きます。
      * turn_server_get_engine() をパケットごとのホットパスから持ち上げます。
      * 整合性ヘルパーの fuzz カバレッジを追加します(#1888)。
      * 決定論的なチャレンジ-レスポンスビルダーを FuzzStun に追加します。
      * fuzz 初期化子のシードアドレスマッピングテーブル(#1885)。
      * is_httpおよびまれな STUN 属性の fuzz カバレッジのブロックを解除します。
      * HTTP解析の修正(#1882)。
      * パーサーにおける領域外HTTP検出(#1877)。
      * 起動時にリレースレッドごとにログ行を削除します(#1876)。
      * Unity ベースのユニットテストスキャフォールディングを追加します(#1875)。
      * 構成udp_relay_servers_numberドロップし、デッドな UDP id 空間をクリーンアップします(#1874)。
      * ビルド失敗を修正:Linux で recvmmsg() の_GNU_SOURCEを定義します。
      * MESSAGE-INTEGRITY が検証された後にのみ、セッションの生成元を固定します。
      * 起動時に不正な形式の allowed/denied-peer-ip を中止します(#1872)。
      * Redis DB ドライバーでの書式文字列インジェクションを修正します(#1870)。
      * STUN MESSAGE-INTEGRITY HMAC に対して一定時間比較を使用します。

    - バージョン 4.10.0 への更新
      * STUN 表示に対する応答バッファ割り当てをスキップします。
      * WebRTC 認証最適化パス(#1860)。
      * post_parse() の NULL ポインターデリファレンスを修正します(#1859)。
      * シードコーパスを拡張します(#1858)。
      * DTLS/UDP リスナー用の Linux 専用「recvmmsg」受信パスを追加します。
      * Linux ビルドの警告を修正します(#1853)。
      * perf:スレッドごとのsuper_memoryアロケーターから mutex を削除します。
      * NEV_UDP_SOCKET_PER_THREADネットワークエンジンのみを保持します。
      * OAuth トークンデコーディングのスタックバッファオーバーフローを修正します。
      * 廃止予定の TLSv1/1.1 に関する構成ファイルおよび Readme ファイルを更新してください。
      * perf:認証メッセージディスパッチで mutex を排除し、コピーを削減します(#1843)。
      * perf:帯域幅追跡のために、mutex_bpsロックフリーのアトミックで置き換えます。
      * stun_get_message_len_str() 原因のuint16_t切り捨てオーバーフローを修正します(#1844)。
      * 修正: 4.7.0 以降失われた RFC 3489(古い STUN)の後方互換性を復元します(#1839)。
      * uint16_t を使用するようにポート識別子を変更します(#1752)。
      * 修正:run_tests.sh、db なし(#1834)。
      * セッション使用率レポートのコールバックを TURN データベースドライバーに追加します。
      * 使用前に変数を初期化します(#1832)。
      * perror をロギングで置換します(#1831)。
      * CLI インターフェイスはデフォルトで無効です。
      * 増幅係数を減らすために、応答メッセージの理由文字列を無効にします。
      * perf:最悪のシナリオの最適化を改善します。
      * コンパイル警告を修正します(#1822)。

    CVE-2026-27624(boo#1258847)および CVE-2025-69217(boo##1255744)に対する修正

    - バージョン 4.9.0 への更新
      * 複数のセキュリティ修正。
      * Web 管理者パスワードチェックの修正。
      * 廃止予定の openssl API のクリーンアップ。
      * CVE-2026-27624 の修正:IPv4 マップ IPv6 を使用してローカルホストと IP 範囲ブロックをバイパスします。 boo#1258847
    - バージョン 4.8.0 への更新
      * リスナースレッドでのパケット検証の高速化により、DDoS 攻撃への対処が改善されます。
      * sock-buf-size でソケットバッファサイズを構成できるようにします。
      * メモリリークとクラッシュの可能性に対処します。
      * CVE-2025-69217に対処するための乱数の使用を向上します。
        boo#1255744

    - バージョン 4.7.0 への更新
      * デフォルトでセキュリティを向上するために、正常なデフォルトにするための互換性に影響する変更
        - openssl 1.1.1 および 3.x のみをサポートします。
        - 廃止されたオプションをクリーンアップします - スクリプトにこれらがある場合、turnserver は起動に失敗します。
        - 逆ロジックを回避するためのリバースSOFTWARE_ATTRIBUTE_OPT - 現在は明示的に有効化する必要があります。
        - response-origin-only-with-rfc5780 を廃止します。
        - no-stun-backward-compatibility をデフォルトオンに戻します。
      * TLSv1 および TLSv1_1 は現在オプションです(オフにする必要はありません)。
      * マイナーなバグ修正と回帰。
      * prometheus の最新バージョンのサポートを改善しました。

    - coturn にアップグレードしてください 4.6.3
      * リリースのハイライト:
        - 複数のメモリ修正
        - 新しい排水機能
        - Redis の新しいバージョンに対するサポートの改善
        - 生公開鍵のサポートを追加します

      * 完全な変更リスト
        - clang-tidy、include-what-you-use、msvc-analyzer github アクションを追加します
        - CodeQL ワークフローの追加
        - 欠落している関数の turn_random_number() のプロトタイプを追加
        - セッション ID を一部のログラインに追加しました
        - Amazon Linux のサポートを追加し、tests.yml の名前を変更しました
        - Prometheus APT が利用不可の警告を追加
        - コンパイラサニタイザーでテストを実行する github アクションを追加します
        - セキュリティスキャナーの問題に対処するための ns_turn_allocation.* の追加リファクタリング
        - MariaDB サポートを README.md に追加します
        - 新しいドレイン機能を追加
        - example フォルダの turn.conf に prometheus 設定提案を追加
        - db ファイルの clang-tidy 警告に対処
        - api の変更によって導入された一部のビルドの問題に対処します
        - 生公開鍵のサポートを追加します
        - すべての条件に常に中括弧が付くように、clang-format の InsertBraces コマンドを追加します
        - 警告を追加し、no-tls オプションが使用される場合は Web 管理を無効にします
        - prometheous が見つからない場合の cmake メッセージの文言を調整します。
        - redis へのユーザー名による認証を許可します
        - ブランチに関わらず、常に lint を実行します
        - さまざまな関数でサーバー変数の nullptr 逆参照を回避します
        - udp_create_server_socket の潜在的な nullptr 逆参照を回避します
        - get_bold_admin_title での文字列の終端を越えた読み取りを回避します
        - 初期化されていない可能性のあるデータをキーファイルaes_128書き込むことを回避します
        - stunclient.c の変数を bool に変更しました
        - 最低限必要な cmake バージョンを以下に変更します 3.16
        - に対して printf() を TURN_LOG_FUNC() に変更します --no-stdout-log
        - さまざまなマップ関数を変更し、0、1、または -1 を一貫性なく返すのではなく、bool 値を返すようにします
        - add_static_user_accountでの割り当て結果の確認
        - handle_logon_request での calloc の結果を確認します
        - del_alt_server で malloc の結果を確認します
        - mongo_set_realm_option_oneで malloc の結果を確認します
        - send_message_to_redis で malloc の結果を確認します
        - string_list_addで malloc の結果を確認します
        - ch_map_get での realloc および calloc の結果がチェックされます
        - CMake: nearby の変数を宣言します
        - configure:データファイルは実行可能であってはなりません
        - STUN フィンガープリント用のマジックナンバーを定義
        - デッドコードを削除
        - 未使用の変数を削除します
        - Doc:フローチャートを追加
        - AWSへのcoturnの簡単なインストール
        - rsalt を 2 増やして、generate_enc_password におけるバッファオーバーフローを修正します
        - libressl 3.6+ でビルドを修正します
        - clang 形式の lint の警告を修正します
        - cli 認証を修正します
        - libevent での Cmake の検索の問題を修正します
        - cmake が prometheus を見つけられることを修正します( #1304 を修正)
        - 継続的インテグレーションからのコンパイラ警告を修正します
        - rfc5769check アプリにおける無料の警告中の const を修正します
        - Cygwin 環境の make コマンドのエラーを修正します
        - lint エラーを修正するためにフォーマットを修正します
        - コメントに関する lint の苦情を修正します
        - lint エラーを修正します
        - mainrelay.c の linting エラーを修正します
        - make lint を修正
        - memcpy len チェックを修正しますstun_is_challenge_response_str
        - pgsql_reread_realms のメモリリークを修正します
        - netengine.c のメモリリークを修正します
        - rfc5769check.c でのメモリ漏洩を修正します
        - http_server.c のメモリ漏洩を修正します
        - mingw ビルドを修正します
        - fix_stun_check_message_integrity_str で欠如している strncpy を修正します
        - rfc5769check 上の goto ラベルの msvc アナライザーエラーを修正します
        - 古いコンテナイメージによる nodejs/glibc の問題を修正します。
        - no-tls 警告の誤字を修正します
        - 非 null を期待する関数に渡される潜在的な NULL を修正します
        - 代替サーバーの削除における再帰呼び出しを修正
        - 「RESERVATION-TOKEN」が失敗した場合に「create_relay_connection」に対して正しいエラーコードを返すのを修正します
        - rpm バージョンスクリプトを修正します
        - 任意の github アクションの実行cmake.ymlを修正します
        - 入力ミスを修正します
        - GH アクションチェックアウトバージョンを含む ubuntu 16 ビルドを v3 に修正します
        - カスタム prometheus http ハンドラーを実装します
        - 使用するものを含める
        - openssl-1.0.1 の代わりに amazonlinux:2 に openssl-1.1.1 をインストールします
        - malloc は、文字列終端子にスペースを割り当てるようになりました
        - memset user_db、構成ファイルの読み取り後ではなく、構成ファイルの読み取り前に
        - 拒否された IP に対する coturn ログでのセッション ID の欠落 - 1330
        - hiredis_libevent2コードを共通からリレーに移動します
        - IPv6 が利用できる場合にのみMHD_USE_DUAL_STACKを設定します
        - 印刷バージョンのみ、余分な行なし
        - コードの ifdefs を削減します:TURN_NO_PROMETHEUS
        - リファクタリング:peer_input_handle
        - コードの再フォーマット
        - CMakeLists.txt から実装されていないテストフォルダー参照を削除します
        - HeapAlloc を malloc で置換
        - srand/rand を srandom/random で置換
        - 400 応答を HTTP リクエストに返します
        - 変更時に Docker ビルドを除くすべての CI を実行します
        - macOS 検出マクロを簡素化
        - codeql のワークフローを簡素化する
        - strncpy が size_t を返しません
        - 複合アクションに抽出された Ubuntu ビルド依存関係
        - フローチャートの更新
        - libtelnet を更新します
        - lukka/run を更新
        - 更新 SQLite.md
        - turnserver.conf を更新します listening-ip に関する例
        - turnserver.spec を更新します
        - vcpkg.json の更新バージョン
        - 合計数の代わりにアクティブな CPU 数を使用
        - ns_turn_msg.c 内の関数に対して int の代わりに bool を使用します
        - turnutils_uclient プログラムに対して int に対して bool を使用します
        - 必要に応じて calloc を使用し、通常のバッファ初期化が動作する場合は memset を回避します
        - Windows:ネットワークインターフェイスが起動しているときのみ、バインドを試行します
        - ワークフローの整理整頓

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-8cb5571ddc advisory.

    # Coturn 4.9.0

    - Multiple security fixes
    - Fix to Web Admin password check
    - Cleanup of deprecated OpenSSL APIs
    - Fix for CVE-2026-27624: Bypass localhost and IP range block using IPv4-mapped IPv6


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-379e214a37 advisory.

    # Coturn 4.9.0

    - Multiple security fixes
    - Fix to Web Admin password check
    - Cleanup of deprecated OpenSSL APIs
    - Fix for CVE-2026-27624: Bypass localhost and IP range block using IPv4-mapped IPv6


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21184-1 advisory.

    Changes in coturn:

    - Update to version 4.14.0       New
      * No more dependency on prometheus-client-c
      * HTTPS support for prometheus client (optional)
      * TLS support for redis - now compatible with managed redis         (optional).
      * Rate limiting 401 Unauthorized responses - reduces         reflection attacks off the coturn server. This is an         experimental feature - not fully tested on production scale         deployment and massive DDoS attacks. New prometheus counters         should help shed some light on real life behavior and         performance. The feature is off by default.
      What's Changed
      * validate hmackey length in sqlite_get_user_key before hex         decode.
      * Add out-of-tree patch to restore deprecated OpenSSL 1.1.1.
      * Add optional TLS transport for Redis connections.
      * Fix relay threads override.
      * Flush prometheus hot-path counters once per second to kill         lock contention.
      * fix signed-char index out-of-bounds read in base64_decode.
      * Build Prometheus exporter from vendored local sources.
      * Prom https.
      * Fix realm quota data race and warnings.
      * Add per-source rate-limiting of UDP 401 Unauthorized responses

    - Update to version 4.13.1
      * null-terminate server_name in stun_is_challenge_response_str.
      * Canonicalize all IPv4-in-IPv6 encodings before peer-IP checks.
      * Auto-deny coturn's own database backend endpoints as relay         peers.
      * Deny link-local / ULA / site-local relay peers by default.

    - Update to version 4.13.0
      * Wrap atomic everywhere.
      * Fix sendmmsg stride bug in multiplex-peer UDP batch flush.
      * Reap TURN permissions/channels via a per-thread sweep instead         of per-object timers.
      * Add --udp-sendmmsg-log to observe egress sendmmsg/UDP-GSO         batching.
      * Expose recvmmsg/sendmmsg UDP batch sizes as Prometheus metrics
      * Restrict recvmmsg fast path to shared fan-in sockets         (make --udp-recvmmsg useful standalone).
      * Enable --udp-recvmmsg by default on Linux.
      * Security hardening: port parsing, admin brute-force throttle,         credential log redaction, constant-time compare, OAuth bounds         checks, permission cap (#1932).
      * Add continuous latency mode to stunclient.
      * Fix test_redis_format link failure.
      * Fix configure MANPREFIX typo.
      * Fix missing sqlite3 dependendcy.
      * Fix UDP receive buffer ownership.

    - Update to version 4.12.0
      * Update khash to the latest version (#1919).
      * Update readme to match latest changes (#1920).
      * Update docs for drop-invalid-packets and         response-origin-only-with-rfc5780.
      * Multiplexpeer (#1916).
      * Fix TTL/TOS type conversion (#1915).
      * turnutils_uclient: sender thread pool + UDP-GSO send batching +         recv_pps reporting (#1913).
      * Fix memory leak introduced by recvmmsg path (#1912).
      * turnutils_uclient: multi-threaded listener (recv) pool.
      * examples/turnserver.conf: update description of cli option.
      * turnutils_uclient: Linux recvmmsg receive path + larger         SO_RCVBUF (#1910).
      * Add UDP-GSO send path (--udp-gso) (#1907).
      * turnutils_peer: Linux fast path with drain loop,         recvmmsg/sendmmsg, U (#1908).
      * Relay recvmmsg (#1906).
      * fuzzing: use hex escapes for HTTP EOH dictionary entry.
      * Sync turnserver man page with current CLI options (#1903).
      * Remove stale --ne option from turnserver --help (#1904).
      * Restore CodeQL permissions, category, and manual build mode.

    - Update to version 4.11.0
      * Filc harness and pointer typedefs (#1896).
      * Load generator mode in turnutils_uclient (#1894).
      * Cache hot lookups in TURN data-path handlers (#1893).
      * Inline get_ioa_addr_len() in the header (#1891).
      * Trim two redundant checks from per-packet relay hot path.
      * Hoist turn_server_get_engine() out of per-packet hot path.
      * Add fuzz coverage for integrity helpers (#1888).
      * Add deterministic challenge-response builder to FuzzStun.
      * Seed address-mapping table in fuzz initializer (#1885).
      * Unblock fuzz coverage for is_http and rare STUN attributes.
      * HTTP parsing fixes (#1882).
      * Out of bound HTTP detection in parser (#1877).
      * Delete log line per relay thread on start (#1876).
      * Add Unity-based unit test scaffolding (#1875).
      * Drop udp_relay_servers_number config and clean up dead UDP         id-space (#1874).
      * Fix build failure: define _GNU_SOURCE for recvmmsg() on Linux.
      * Pin session origin only after MESSAGE-INTEGRITY validates.
      * Abort on malformed allowed/denied-peer-ip at startup (#1872).
      * Fix format-string injection in Redis DB driver (#1870).
      * Use constant-time compare for STUN MESSAGE-INTEGRITY HMAC.

    - Update to version 4.10.0
      * Skip response buffer allocation for STUN indications.
      * WebRTC Auth optimization path (#1860).
      * Fix null pointer dereferences in post_parse() (#1859).
      * Extend seed corpus (#1858).
      * Add Linux-only `recvmmsg` receive path for DTLS/UDP listener.
      * Fix Linux build warnings (#1853).
      * perf: remove mutex from per-thread super_memory allocator.
      * Keep only NEV_UDP_SOCKET_PER_THREAD network engine.
      * Fix stack buffer overflow in OAuth token decoding.
      * Update config and Readme files about deprecated TLSv1/1.1.
      * perf: eliminate mutex and reduce copies on auth message         dispatch (#1843).
      * perf: replace mutex_bps with lock-free atomics for bandwidth         tracking.
      * Fix uint16_t truncation overflow in stun_get_message_len_str()         causes (#1844).
      * fix: restore RFC 3489 (old STUN) backward compatibility broken         since 4.7.0 (#1839).
      * Change port identifiers to use uint16_t (#1752).
      * Fixes: run_tests.sh and no db (#1834).
      * Add session usage reporting callback to TURN database driver.
      * Initialize variables before use (#1832).
      * Replace perror with logging (#1831).
      * CLI interface is disabled by default.
      * Disable reason string in response messages to reduce         amplification factor.
      * Perf: improve worst case scenario optimization.
      * Fix compilation warnings (#1822).

    Fixes for CVE-2026-27624 (boo#1258847) and CVE-2025-69217 (boo##1255744)

    - Update to version 4.9.0
      * Multiple security fixes.
      * Fix to Web Admin password check.
      * Cleanup of deprecated openssl APIs.
      * Fix for CVE-2026-27624: bypass localhost and IP range block         using IPv4-mapped IPv6. boo#1258847
    - Update to version 4.8.0
      * Faster packet validation on listener threads to improve         handling of DDoS attacks.
      * Make socket buffer size configurable with sock-buf-size.
      * Address memory leaks and potential crashes.
      * Improve random number usage to address CVE-2025-69217.
        boo#1255744

    - Update to version 4.7.0
      * Breaking changes in order to get to sane defaults for improved         security by default
        - Support for openssl 1.1.1 and 3.x only.
        - Cleanup deprecated options - if your scripts have them           turnserver will fail to start.
        - Reverse SOFTWARE_ATTRIBUTE_OPT to avoid inverse logic - now           need to explicitly enable it.
        - Deprecate response-origin-only-with-rfc5780.
        - Invert no-stun-backward-compatibility to be default on.
      * TLSv1 and TLSv1_1 are now optional (no need to turn them off).
      * Minor bug fixes and regressions.
      * Improved support for modern version of prometheus.

    - Upgrade to coturn 4.6.3
      * Release highlights:
        - Multiple memory fixes
        - New drain feature
        - Better support for new versions of Redis
        - Add support for raw public keys

      * Complete change list
        - Add clang-tidy, include-what-you-use, and msvc-analyzer github actions
        - Add CodeQL workflow
        - added missing function prototype of turn_random_number()
        - Added sessionID to some log lines
        - added support for amazon linux and renamed tests.yml
        - added warnings for prometheus apt unavailability
        - Add github action that runs tests with compiler sanitizers
        - Additional refactoring of ns_turn_allocation.* to address security           scanner concerns
        - Add MariaDB support to README.md
        - Add new Drain feature
        - Add prometheus setting suggestions on turn.conf in example folder
        - Address clang-tidy warnings in db files
        - Address some build issues introduced by api changes
        - Add support for raw public keys
        - Add the InsertBraces command for clang-format to ensure that all           conditionals always have braces
        - Add warning and disable web admin if no-tls option used
        - Adjust wording in cmake message when prometheous cannot be found.
        - Allow authenticating with a username to redis
        - Always run lint, regardless of branch
        - Avoid nullptr dereference of server variable in various functions
        - avoid potential nullptr derefernence in udp_create_server_socket
        - Avoid read-past-end of string in get_bold_admin_title
        - Avoid writing potentially uninitialized data to aes_128 key file
        - changed variables in stunclient.c to bool
        - Change minimal required cmake version to 3.16
        - Change printf() to TURN_LOG_FUNC() for --no-stdout-log
        - Change the various map functions to return bool instead of           inconsistantly return 0, 1, or -1
        - Check allocation results in add_static_user_account
        - Check the result of calloc in handle_logon_request
        - Check the result of malloc in del_alt_server
        - Check the result of malloc in mongo_set_realm_option_one
        - Check the result of malloc in send_message_to_redis
        - Check the result of malloc in string_list_add
        - Check the result of realloc and calloc in ch_map_get
        - CMake: Declare the variable nearby
        - configure: data files shouldn't be executable
        - defined a magic number for stun fingerprinting
        - Delete dead code
        - Delete unused variable
        - Doc: add flowchart
        - Easy installation of coturn on AWS
        - Fix buffer overflow in generate_enc_password with increase rsalt by 2
        - Fix build with libressl 3.6+
        - Fix clang-format lint warnings
        - Fix cli auth
        - Fix Cmake find issue in libevent
        - Fix cmake find prometheus(fix #1304)
        - Fix compiler warnings from continuous integration
        - Fix const during free warning in rfc5769check app
        - Fix error of make command in Cygwin environment
        - Fix formatting to fix lint error
        - Fix lint complaint about comment
        - Fix lint errors
        - Fix linting error in mainrelay.c
        - Fix make lint
        - Fix memcpy len checks stun_is_challenge_response_str
        - Fix memleak in pgsql_reread_realms
        - Fix memory leak in netengine.c
        - Fix memory leak in rfc5769check.c
        - Fix memory leak on http_server.c
        - Fix mingw build
        - Fix missing strncpy in fix_stun_check_message_integrity_str
        - Fix msvc analyzer error on goto label on rfc5769check
        - Fix nodejs/glibc problem with old container images.
        - Fix no-tls warning typo
        - Fix potential null passed to function expecting nonnull
        - Fix recursive call in delete alternate server
        - Fix return correct error code for `create_relay_connection` in case           of `RESERVATION-TOKEN` failure
        - Fix rpm version scripts
        - Fix run cmake.yml in any github action
        - Fix typos
        - Fix ubuntu 16 build with GH action checkout version to v3
        - Implement custom prometheus http handler
        - Include what you use
        - Install openssl-1.1.1 on amazonlinux:2 instead of openssl-1.0.1
        - malloc now allocates space for string terminator
        - Memset user_db before reading conf file, not after
        - Missing session ID in coturn logs for denied IP - 1330
        - Move the hiredis_libevent2 code from common to relay
        - Only set MHD_USE_DUAL_STACK if IPv6 is available
        - Print version only, no extra lines
        - Reduce ifdefs in code: TURN_NO_PROMETHEUS
        - Refactor: peer_input_handle
        - Reformat code
        - Remove unimplemented test folder reference from CMakeLists.txt
        - Replace HeapAlloc with malloc
        - Replace srand/rand with srandom/random
        - Return a 400 response to HTTP requests
        - Run all of the CI except for Docker builds on any change
        - Simplify macOS detection macros
        - Simplify workflow for codeql
        - strncpy doesn't return size_t
        - ubuntu build dependencies extracted to composite actions
        - Update FlowChart
        - Update libtelnet
        - Update lukka/run
        - Update SQLite.md
        - Update turnserver.conf Example about listening-ip
        - Update turnserver.spec
        - Update version in vcpkg.json
        - Use active CPU number instead of total number
        - Use bool, instead of int, for the functions in ns_turn_msg.c
        - Use bool over int for the turnutils_uclient program
        - Use calloc where appropriate, avoid memset when normal buffer           initialization works
        - Windows: Only attempt to bind when the network interface is up
        - workflow tidying

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Coturn is a free open source implementation of TURN and STUN Server. Coturn is commonly configured to     block loopback and internal ranges using denied-peer-ip and/or default loopback restrictions.
    CVE-2020-26262 addressed bypasses involving 0.0.0.0, [::1] and [::], but IPv4-mapped IPv6 is not     covered. When sending a CreatePermission or ChannelBind request with the XOR-PEER-ADDRESS value of     ::ffff:127.0.0.1, a successful response is received, even though 127.0.0.0/8 is blocked via denied-     peer-ip. The root cause is that, prior to the updated fix implemented in version 4.9.0, three functions     in src/client/ns_turn_ioaddr.c do not check IN6_IS_ADDR_V4MAPPED. ioa_addr_is_loopback() checks     127.x.x.x (AF_INET) and ::1 (AF_INET6), but not ::ffff:127.0.0.1. ioa_addr_is_zero() checks     0.0.0.0 and ::, but not ::ffff:0.0.0.0. addr_less_eq() used by ioa_addr_in_range() for denied-     peer-ip matching: when the range is AF_INET and the peer is AF_INET6, the comparison returns 0 without     extracting the embedded IPv4. Version 4.9.0 contains an updated fix to address the bypass of the fix for     CVE-2020-26262. (CVE-2026-27624)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-2a1aa1f57f advisory.

    # Coturn 4.9.0

    - Multiple security fixes
    - Fix to Web Admin password check
    - Cleanup of deprecated OpenSSL APIs
    - Fix for CVE-2026-27624: Bypass localhost and IP range block using IPv4-mapped IPv6


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
441025	Alpine: multiple coturn packages: security update to 4.10.0-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/4/30	2026/7/2	medium
441025	Alpine: multiple coturn packages: security update to 4.10.0-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/4/30	2026/7/2	medium
299987	Linux Distros 未修補的弱點：CVE-2026-27624	Nessus	Misc.	2026/2/26	2026/7/20	medium
299987	Linux Distros 未修补的漏洞：CVE-2026-27624	Nessus	Misc.	2026/2/26	2026/7/20	medium
299987	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27624	Nessus	Misc.	2026/2/26	2026/7/20	medium
301070	Fedora 42coturn2026-2a1aa1f57f	Nessus	Fedora Local Security Checks	2026/3/6	2026/3/6	medium
301452	Fedora 44coturn2026-379e214a37	Nessus	Fedora Local Security Checks	2026/3/7	2026/3/7	medium
301071	Fedora 43coturn2026-8cb5571ddc	Nessus	Fedora Local Security Checks	2026/3/6	2026/3/6	medium
324885	openSUSE 16 セキュリティ更新:coturn(openSUSE-SU-2026:21184-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	medium
301071	Fedora 43 : coturn (2026-8cb5571ddc)	Nessus	Fedora Local Security Checks	2026/3/6	2026/3/6	medium
301452	Fedora 44 : coturn (2026-379e214a37)	Nessus	Fedora Local Security Checks	2026/3/7	2026/3/7	medium
324885	openSUSE 16 Security Update : coturn (openSUSE-SU-2026:21184-1)	Nessus	SuSE Local Security Checks	2026/7/2	2026/7/2	medium
299987	Linux Distros Unpatched Vulnerability : CVE-2026-27624	Nessus	Misc.	2026/2/26	2026/7/20	medium
301070	Fedora 42 : coturn (2026-2a1aa1f57f)	Nessus	Fedora Local Security Checks	2026/3/6	2026/3/6	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium