Aviso de seguridad de Debian

DSA-4373-1 coturn -- actualización de seguridad

Fecha del informe:

28 de ene de 2019

Paquetes afectados:

coturn

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

Información adicional:

Se descubrieron múltiples vulnerabilidades en coTURN, un servidor TURN y STUN para VoIP.

CVE-2018-4056
Se descubrió una vulnerabilidad de inyección de SQL en el portal web del administrador de coTURN. Lamentablemente, como la interfaz web de administración se comparte con la producción, no es posible filtrar de forma sencilla el acceso del exterior, y esta actualización de seguridad inhabilita completamente la interfaz web. Los usuarios deberían utilizar en su lugar la interfaz local de línea de órdenes.
CVE-2018-4058
La configuración por omisión habilita la retransmisión («forwarding») insegura por loopback. Un atacante remoto con acceso a la interfaz TURN puede usar esta vulnerabilidad para obtener acceso a servicios que deberían ser exclusivamente locales.
CVE-2018-4059
La configuración por omisión usa una contraseña vacía para la interfaz de administración por línea de órdenes local. Un atacante con acceso a la consola local (ya sea un atacante local o un atacante remoto aprovechándose de CVE-2018-4058) podría elevar privilegios a los de administrador del servidor coTURN.

Para la distribución «estable» (stretch), estos problemas se han corregido en la versión 4.5.0.5-1+deb9u1.

Le recomendamos que actualice los paquetes de coturn.

Para información detallada sobre el estado de seguridad de coturn, consulte su página en el sistema de seguimiento de problemas de seguridad: https://security-tracker.debian.org/tracker/coturn