Debians sikkerhedsbulletin

DSA-4373-1 coturn -- sikkerhedsopdatering

Rapporteret den:
28. jan 2019
Berørte pakker:
coturn
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2018-4056, CVE-2018-4058, CVE-2018-4059.
Yderligere oplysninger:

Adskillige sårbarheder er opdaget i coTURN, en TURN- og STUN-server til VoIP.

  • CVE-2018-4056

    En SQL-indsprøjtningssårbarhed blev opdaget i coTURN's administratorwebportal. Da administrationswebgrænsefladen deles med produktion, er det desværre ikke muligt at på en let måde at bortfiltrere adgang udefra, og denne sikkerhedsopdatering deaktiverer fuldstændig webgrænsefladen. Brugerne bør i stedet benytte den lokale kommandolinjegrænseflade.

  • CVE-2018-4058

    Standardopsætningen aktiverer usikker loopback-viderestilling. En fjernangriber med adgang til TURN-grænsefladen kunne udnytte sårbarheden til at opnå adgang til tjenester, der kun bør være lokale.

  • CVE-2018-4059

    Standardopsætningen anvender en tom adgangskode til den lokale kommandolinjebaserede administrationsgrænseflade. En angriber med adgang til den lokale konsol (enten en lokal angriber eller en fjern angriber, der drager nytte af CVE-2018-4058) kunne forøge rettigheder til administrator af coTURN-serveren.

I den stabile distribution (stretch), er disse problemer rettet i version 4.5.0.5-1+deb9u1.

Vi anbefaler at du opgraderer dine coturn-pakker.

For detaljeret sikkerhedsstatus vedrørende coturn, se dens sikkerhedssporingsside på: https://security-tracker.debian.org/tracker/coturn