Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - coturn 是 TURN 和 STUN 服务器的免费开源实现。4.6.2r5 到 4.7.0-r4 版本在重构之后对于临时信息和端口随机化存在错误的随机数发生器。此外随机数不是用 openssl 的 RAND_bytes 生成而是用 libc 的 random()生成如果不是在 Windows 上运行。当获取约 50 个连续的临时信息时（即，通过发送 50 个未经身份验证的分配请求），可能会完全重建随机数发生器的当前状态，从而预测下一个临时信息。这允许在欺骗 IP 的同时进行身份验证。攻击者可在未收到包括临时信息在内的响应的情况下发送经认证的消息需要了解凭据在 IoT 设置中很常见。由于在给定伪随机数种子的情况下端口随机化具有确定性因此攻击者可以准确地重建端口从而预测端口的随机化。如果攻击者分配了中继端口，他们就知道当前的端口，并且能够预测下一个中继端口（至少在之前未使用过的情况下）。提交 11fc465f4bba70bb0ad8aae17d6c4a63a29917d9 包含一个补丁。 (CVE-2025-69217)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - coturn 是 TURN 和 STUN 伺服器的免費開放原始碼實作。重構後Nonce 和連接埠隨機化在 4.6.2r5 至 4.7.0-r4 版中有一個錯誤的亂數產生器。此外亂數產生的不是 openssl 的 RAND_bytes 而是 libc 的 random() (若不是在 Windows 上執行)。擷取大約 50 個循序 nonce 時 (亦即傳送 50 個未經驗證的配置要求)可能完全重建亂數產生器的目前狀態進而預測下一個 nonce。這會允許在偽造 IP 時進行驗證。攻擊者可以在未收到回應的情況下傳送經驗證的訊息包括 nonce (需要知道認證例如IoT 設定中經常發生的情況)。由於連接埠隨機化在給予偽隨機種子的情況下具有確定性因此攻擊者可準確重建連接埠並因此預測連接埠的隨機化。如果攻擊者配置了轉送連接埠他們就知道目前的連接埠而且他們能夠預測下一個轉送連接埠 (至少在之前未使用的情況下)。提交 11fc465f4bba70bb0ad8aae17d6c4a63a29917d9 包含一個修正。 (CVE-2025-69217)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21184-1 アドバイザリで言及されています。

    コターンの変更:

    - バージョン 4.14.0 新規に更新してください
      * prometheus-client-c への依存関係を排除
      * prometheusクライアントのHTTPSサポート(オプション)
      * redis の TLS サポート - managed redis と互換性を持った(オプション)。
      * 401 認証されていない応答のレート制限 - coturn サーバーからの反射攻撃を低減させます。これは実験的な機能であり、本番環境規模のデプロイメントや大規模なDDoS攻撃では完全にはテストされていません。新しいプロメテウス カウンターは、実際の行動やパフォーマンスに光を当てるのに役立つはずです。この機能はデフォルトではオフになっています。
      変更点
      * hex デコード前に sqlite_get_user_key での hmackey の長さを検証します。
      * out-of-tree パッチを追加して、非推奨の OpenSSL 1.1.1を復元します。
      * Redis接続用のオプションのTLSトランスポートを追加します。
      * リレースレッドオーバーライドを修正します。
      * prometheus ホットパスカウンターを 1 秒に 1 回フラッシュし、ロック競合を kill します。
      * base64_decode での signed-char インデックスの領域外読み取りを修正します。
      * ベンダーのローカルソースから Prometheus エクスポーターを構築します。
      * プロム https.
      * レルムクォータデータの競合と警告を修正します。
      * UDP 401 承認されていない応答のソースごとのレート制限を追加します

    - バージョン 4.13.1 への更新
      * stun_is_challenge_response_str での NULL 終端server_name
      * ピア IP チェックの前に、すべての IPv4-in-IPv6 エンコーディングを正規化します。
      * coturn 自身のデータベースバックエンドエンドポイントをリレーピアとして自動拒否します。
      * デフォルトでは、link-local / ULA / site-local リレーピアを拒否します。

    - バージョン 4.13.0 への更新
      * あらゆる場所にアトミックをラップします。
      * multiplex-peer UDP バッチフラッシュの sendmmsg ストライドバグを修正します。
      * オブジェクトごとのタイマーの代わりにスレッドごとのスイープを介して TURN 権限/チャネルを獲得。
      * 出力 sendmmsg/UDP-GSO バッチ処理を観察するための --udp-sendmmsg-log を追加します。
      * recvmmsg/sendmmsg UDP バッチサイズを Prometheus メトリクスとして公開します
      * recvmmsg ファストパスを共有ファンインソケットに制限します(便利なスタンドアロン --udp-recvmmsg にします)。
      * Linux では、デフォルトで --udp-recvmmsg を有効にします。
      * セキュリティ強化:ポート解析、管理者のブルートフォーススロットル、認証情報ログの編集、一定時間の比較、OAuth 境界チェック、権限上限(#1932)。
      * stunclient に連続遅延モードを追加します。
      * test_redis_formatリンク障害を修正します。
      * 構成 MANPREFIX の誤字を修正します。
      * sqlite3 の依存関係の欠落を修正します。
      * UDP 受信バッファ所有権を修正します。

    - バージョン 4.12.0 への更新
      * khash を最新バージョン(#1919)に更新してください。
      * readme を更新し、最新の変更に一致させます(#1920)。
      * drop-invalid-packets および response-origin-only-with-rfc5780.* Multiplexpeer に関するドキュメントを更新します(#1916)。
      * TTL/TOS 型変換を修正します(#1915)。
      * turnutils_uclient:送信スレッドプール + UDP-GSO 送信バッチ + recv_ppsレポート(#1913)。
      * recvmmsg パスによってもたらされたメモリリークを修正します(#1912)。
      * turnutils_uclient:マルチスレッドリスナー(recv)プール。
      * examples/turnserver.conf:CLI オプションの説明を更新します。
      * turnutils_uclient:Linux recvmmsg 受信パス + より大きなSO_RCVBUF(#1910)。
      * UDP-GSO 送信パスを追加します(--udp-gso)(#1907)。
      * turnutils_peer:ドレインループのある Linux ファストパス、recvmmsg/sendmmsg、U(#1908)。
      * リレー:recvmmsg(#1906)。
      * fuzzing:HTTP EOH 辞書エントリに対して 16 進数エスケープを使用します。
      * turnserver の man ページを現在の CLI オプションと同期します(#1903)。
      * turnserver --helpから古い --ne オプションを削除します(#1904)。
      * CodeQLのアクセス許可、カテゴリ、手動ビルドモードを復元します。

    - バージョン 4.11.0 への更新
      * Filc ハーネスおよびポインター typedefs(#1896)。
      * turnutils_uclient(#1894)のロードジェネレーターモード。
      * TURN データパスハンドラーのキャッシュホットルックアップ(#1893)。
      * ヘッダーのインライン get_ioa_addr_len() (#1891)。
      * パケットごとのリレーホットパスから 2 つの冗長チェックを取り除きます。
      * turn_server_get_engine() をパケットごとのホットパスから持ち上げます。
      * 整合性ヘルパーの fuzz カバレッジを追加します(#1888)。
      * 決定論的なチャレンジ-レスポンスビルダーを FuzzStun に追加します。
      * fuzz 初期化子のシードアドレスマッピングテーブル(#1885)。
      * is_httpおよびまれな STUN 属性の fuzz カバレッジのブロックを解除します。
      * HTTP解析の修正(#1882)。
      * パーサーにおける領域外HTTP検出(#1877)。
      * 起動時にリレースレッドごとにログ行を削除します(#1876)。
      * Unity ベースのユニットテストスキャフォールディングを追加します(#1875)。
      * 構成udp_relay_servers_numberドロップし、デッドな UDP id 空間をクリーンアップします(#1874)。
      * ビルド失敗を修正:Linux で recvmmsg() の_GNU_SOURCEを定義します。
      * MESSAGE-INTEGRITY が検証された後にのみ、セッションの生成元を固定します。
      * 起動時に不正な形式の allowed/denied-peer-ip を中止します(#1872)。
      * Redis DB ドライバーでの書式文字列インジェクションを修正します(#1870)。
      * STUN MESSAGE-INTEGRITY HMAC に対して一定時間比較を使用します。

    - バージョン 4.10.0 への更新
      * STUN 表示に対する応答バッファ割り当てをスキップします。
      * WebRTC 認証最適化パス(#1860)。
      * post_parse() の NULL ポインターデリファレンスを修正します(#1859)。
      * シードコーパスを拡張します(#1858)。
      * DTLS/UDP リスナー用の Linux 専用「recvmmsg」受信パスを追加します。
      * Linux ビルドの警告を修正します(#1853)。
      * perf:スレッドごとのsuper_memoryアロケーターから mutex を削除します。
      * NEV_UDP_SOCKET_PER_THREADネットワークエンジンのみを保持します。
      * OAuth トークンデコーディングのスタックバッファオーバーフローを修正します。
      * 廃止予定の TLSv1/1.1 に関する構成ファイルおよび Readme ファイルを更新してください。
      * perf:認証メッセージディスパッチで mutex を排除し、コピーを削減します(#1843)。
      * perf:帯域幅追跡のために、mutex_bpsロックフリーのアトミックで置き換えます。
      * stun_get_message_len_str() 原因のuint16_t切り捨てオーバーフローを修正します(#1844)。
      * 修正: 4.7.0 以降失われた RFC 3489(古い STUN)の後方互換性を復元します(#1839)。
      * uint16_t を使用するようにポート識別子を変更します(#1752)。
      * 修正:run_tests.sh、db なし(#1834)。
      * セッション使用率レポートのコールバックを TURN データベースドライバーに追加します。
      * 使用前に変数を初期化します(#1832)。
      * perror をロギングで置換します(#1831)。
      * CLI インターフェイスはデフォルトで無効です。
      * 増幅係数を減らすために、応答メッセージの理由文字列を無効にします。
      * perf:最悪のシナリオの最適化を改善します。
      * コンパイル警告を修正します(#1822)。

    CVE-2026-27624(boo#1258847)および CVE-2025-69217(boo##1255744)に対する修正

    - バージョン 4.9.0 への更新
      * 複数のセキュリティ修正。
      * Web 管理者パスワードチェックの修正。
      * 廃止予定の openssl API のクリーンアップ。
      * CVE-2026-27624 の修正:IPv4 マップ IPv6 を使用してローカルホストと IP 範囲ブロックをバイパスします。 boo#1258847
    - バージョン 4.8.0 への更新
      * リスナースレッドでのパケット検証の高速化により、DDoS 攻撃への対処が改善されます。
      * sock-buf-size でソケットバッファサイズを構成できるようにします。
      * メモリリークとクラッシュの可能性に対処します。
      * CVE-2025-69217に対処するための乱数の使用を向上します。
        boo#1255744

    - バージョン 4.7.0 への更新
      * デフォルトでセキュリティを向上するために、正常なデフォルトにするための互換性に影響する変更
        - openssl 1.1.1 および 3.x のみをサポートします。
        - 廃止されたオプションをクリーンアップします - スクリプトにこれらがある場合、turnserver は起動に失敗します。
        - 逆ロジックを回避するためのリバースSOFTWARE_ATTRIBUTE_OPT - 現在は明示的に有効化する必要があります。
        - response-origin-only-with-rfc5780 を廃止します。
        - no-stun-backward-compatibility をデフォルトオンに戻します。
      * TLSv1 および TLSv1_1 は現在オプションです(オフにする必要はありません)。
      * マイナーなバグ修正と回帰。
      * prometheus の最新バージョンのサポートを改善しました。

    - coturn にアップグレードしてください 4.6.3
      * リリースのハイライト:
        - 複数のメモリ修正
        - 新しい排水機能
        - Redis の新しいバージョンに対するサポートの改善
        - 生公開鍵のサポートを追加します

      * 完全な変更リスト
        - clang-tidy、include-what-you-use、msvc-analyzer github アクションを追加します
        - CodeQL ワークフローの追加
        - 欠落している関数の turn_random_number() のプロトタイプを追加
        - セッション ID を一部のログラインに追加しました
        - Amazon Linux のサポートを追加し、tests.yml の名前を変更しました
        - Prometheus APT が利用不可の警告を追加
        - コンパイラサニタイザーでテストを実行する github アクションを追加します
        - セキュリティスキャナーの問題に対処するための ns_turn_allocation.* の追加リファクタリング
        - MariaDB サポートを README.md に追加します
        - 新しいドレイン機能を追加
        - example フォルダの turn.conf に prometheus 設定提案を追加
        - db ファイルの clang-tidy 警告に対処
        - api の変更によって導入された一部のビルドの問題に対処します
        - 生公開鍵のサポートを追加します
        - すべての条件に常に中括弧が付くように、clang-format の InsertBraces コマンドを追加します
        - 警告を追加し、no-tls オプションが使用される場合は Web 管理を無効にします
        - prometheous が見つからない場合の cmake メッセージの文言を調整します。
        - redis へのユーザー名による認証を許可します
        - ブランチに関わらず、常に lint を実行します
        - さまざまな関数でサーバー変数の nullptr 逆参照を回避します
        - udp_create_server_socket の潜在的な nullptr 逆参照を回避します
        - get_bold_admin_title での文字列の終端を越えた読み取りを回避します
        - 初期化されていない可能性のあるデータをキーファイルaes_128書き込むことを回避します
        - stunclient.c の変数を bool に変更しました
        - 最低限必要な cmake バージョンを以下に変更します 3.16
        - に対して printf() を TURN_LOG_FUNC() に変更します --no-stdout-log
        - さまざまなマップ関数を変更し、0、1、または -1 を一貫性なく返すのではなく、bool 値を返すようにします
        - add_static_user_accountでの割り当て結果の確認
        - handle_logon_request での calloc の結果を確認します
        - del_alt_server で malloc の結果を確認します
        - mongo_set_realm_option_oneで malloc の結果を確認します
        - send_message_to_redis で malloc の結果を確認します
        - string_list_addで malloc の結果を確認します
        - ch_map_get での realloc および calloc の結果がチェックされます
        - CMake: nearby の変数を宣言します
        - configure:データファイルは実行可能であってはなりません
        - STUN フィンガープリント用のマジックナンバーを定義
        - デッドコードを削除
        - 未使用の変数を削除します
        - Doc:フローチャートを追加
        - AWSへのcoturnの簡単なインストール
        - rsalt を 2 増やして、generate_enc_password におけるバッファオーバーフローを修正します
        - libressl 3.6+ でビルドを修正します
        - clang 形式の lint の警告を修正します
        - cli 認証を修正します
        - libevent での Cmake の検索の問題を修正します
        - cmake が prometheus を見つけられることを修正します( #1304 を修正)
        - 継続的インテグレーションからのコンパイラ警告を修正します
        - rfc5769check アプリにおける無料の警告中の const を修正します
        - Cygwin 環境の make コマンドのエラーを修正します
        - lint エラーを修正するためにフォーマットを修正します
        - コメントに関する lint の苦情を修正します
        - lint エラーを修正します
        - mainrelay.c の linting エラーを修正します
        - make lint を修正
        - memcpy len チェックを修正しますstun_is_challenge_response_str
        - pgsql_reread_realms のメモリリークを修正します
        - netengine.c のメモリリークを修正します
        - rfc5769check.c でのメモリ漏洩を修正します
        - http_server.c のメモリ漏洩を修正します
        - mingw ビルドを修正します
        - fix_stun_check_message_integrity_str で欠如している strncpy を修正します
        - rfc5769check 上の goto ラベルの msvc アナライザーエラーを修正します
        - 古いコンテナイメージによる nodejs/glibc の問題を修正します。
        - no-tls 警告の誤字を修正します
        - 非 null を期待する関数に渡される潜在的な NULL を修正します
        - 代替サーバーの削除における再帰呼び出しを修正
        - 「RESERVATION-TOKEN」が失敗した場合に「create_relay_connection」に対して正しいエラーコードを返すのを修正します
        - rpm バージョンスクリプトを修正します
        - 任意の github アクションの実行cmake.ymlを修正します
        - 入力ミスを修正します
        - GH アクションチェックアウトバージョンを含む ubuntu 16 ビルドを v3 に修正します
        - カスタム prometheus http ハンドラーを実装します
        - 使用するものを含める
        - openssl-1.0.1 の代わりに amazonlinux:2 に openssl-1.1.1 をインストールします
        - malloc は、文字列終端子にスペースを割り当てるようになりました
        - memset user_db、構成ファイルの読み取り後ではなく、構成ファイルの読み取り前に
        - 拒否された IP に対する coturn ログでのセッション ID の欠落 - 1330
        - hiredis_libevent2コードを共通からリレーに移動します
        - IPv6 が利用できる場合にのみMHD_USE_DUAL_STACKを設定します
        - 印刷バージョンのみ、余分な行なし
        - コードの ifdefs を削減します:TURN_NO_PROMETHEUS
        - リファクタリング:peer_input_handle
        - コードの再フォーマット
        - CMakeLists.txt から実装されていないテストフォルダー参照を削除します
        - HeapAlloc を malloc で置換
        - srand/rand を srandom/random で置換
        - 400 応答を HTTP リクエストに返します
        - 変更時に Docker ビルドを除くすべての CI を実行します
        - macOS 検出マクロを簡素化
        - codeql のワークフローを簡素化する
        - strncpy が size_t を返しません
        - 複合アクションに抽出された Ubuntu ビルド依存関係
        - フローチャートの更新
        - libtelnet を更新します
        - lukka/run を更新
        - 更新 SQLite.md
        - turnserver.conf を更新します listening-ip に関する例
        - turnserver.spec を更新します
        - vcpkg.json の更新バージョン
        - 合計数の代わりにアクティブな CPU 数を使用
        - ns_turn_msg.c 内の関数に対して int の代わりに bool を使用します
        - turnutils_uclient プログラムに対して int に対して bool を使用します
        - 必要に応じて calloc を使用し、通常のバッファ初期化が動作する場合は memset を回避します
        - Windows:ネットワークインターフェイスが起動しているときのみ、バインドを試行します
        - ワークフローの整理整頓

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-c75d08ab90 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-69217 用の Upstream パッチをバックポート#2425955

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-c9fb3f5806 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-69217 用の Upstream パッチをバックポート#2425955

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - covert は TURN および STUN Server の無料のオープンソース実装です。バージョン 4.6.2r5 から 4.7.0-r4 には、リファクタリング後の nonce およびポートランダム化に対する不適切な乱数発生器があります。さらに、openssl の RAND_bytes では乱数が生成されませんが、libc の random() が Windows で実行されていない場合。約 50 個のシーケンシャルなノンスをフェッチする際すなわち 50 の認証されていない割り当てリクエストの送信を通じて、乱数発生器の現在の状態を完全に再構築することが可能であるため、次のノンスを予測することが可能です。これにより、IP を偽装する際でも認証が可能になります。攻撃者は、nonce を含む、応答を受信することなく、認証されたメッセージを送信することができます (IoT 設定など、多くの場合、認証情報の知識が必要です)。ポートのランダム化は擬似ランダムシードが与えられた場合、ポートのランダム化が決定的になるため、攻撃者はポートを正確に再構築し、これによってポートのランダム化を予測できます。攻撃者がリレーポートを割り当てる場合、攻撃者は現在のポートを知っており、次のリレーポートを予測できます少なくとも以前に使用されていない場合。コミット 11fc465f4bba70bb0ad8aae17d6c4a63a29917d9 には修正が含まれています。CVE-2025-69217

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - coturn is a free open source implementation of TURN and STUN Server. Versions 4.6.2r5 through 4.7.0-r4     have a bad random number generator for nonces and port randomization after refactoring. Additionally,     random numbers aren't generated with openssl's RAND_bytes but libc's random() (if it's not running on     Windows). When fetching about 50 sequential nonces (i.e., through sending 50 unauthenticated allocations     requests) it is possible to completely reconstruct the current state of the random number generator,     thereby predicting the next nonce. This allows authentication while spoofing IPs. An attacker can send     authenticated messages without ever receiving the responses, including the nonce (requires knowledge of     the credentials, which is e.g., often the case in IoT settings). Since the port randomization is     deterministic given the pseudorandom seed, an attacker can exactly reconstruct the ports and, hence     predict the randomization of the ports. If an attacker allocates a relay port, they know the current port,     and they are able to predict the next relay port (at least if it is not used before). Commit     11fc465f4bba70bb0ad8aae17d6c4a63a29917d9 contains a fix. (CVE-2025-69217)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21184-1 advisory.

    Changes in coturn:

    - Update to version 4.14.0       New
      * No more dependency on prometheus-client-c
      * HTTPS support for prometheus client (optional)
      * TLS support for redis - now compatible with managed redis         (optional).
      * Rate limiting 401 Unauthorized responses - reduces         reflection attacks off the coturn server. This is an         experimental feature - not fully tested on production scale         deployment and massive DDoS attacks. New prometheus counters         should help shed some light on real life behavior and         performance. The feature is off by default.
      What's Changed
      * validate hmackey length in sqlite_get_user_key before hex         decode.
      * Add out-of-tree patch to restore deprecated OpenSSL 1.1.1.
      * Add optional TLS transport for Redis connections.
      * Fix relay threads override.
      * Flush prometheus hot-path counters once per second to kill         lock contention.
      * fix signed-char index out-of-bounds read in base64_decode.
      * Build Prometheus exporter from vendored local sources.
      * Prom https.
      * Fix realm quota data race and warnings.
      * Add per-source rate-limiting of UDP 401 Unauthorized responses

    - Update to version 4.13.1
      * null-terminate server_name in stun_is_challenge_response_str.
      * Canonicalize all IPv4-in-IPv6 encodings before peer-IP checks.
      * Auto-deny coturn's own database backend endpoints as relay         peers.
      * Deny link-local / ULA / site-local relay peers by default.

    - Update to version 4.13.0
      * Wrap atomic everywhere.
      * Fix sendmmsg stride bug in multiplex-peer UDP batch flush.
      * Reap TURN permissions/channels via a per-thread sweep instead         of per-object timers.
      * Add --udp-sendmmsg-log to observe egress sendmmsg/UDP-GSO         batching.
      * Expose recvmmsg/sendmmsg UDP batch sizes as Prometheus metrics
      * Restrict recvmmsg fast path to shared fan-in sockets         (make --udp-recvmmsg useful standalone).
      * Enable --udp-recvmmsg by default on Linux.
      * Security hardening: port parsing, admin brute-force throttle,         credential log redaction, constant-time compare, OAuth bounds         checks, permission cap (#1932).
      * Add continuous latency mode to stunclient.
      * Fix test_redis_format link failure.
      * Fix configure MANPREFIX typo.
      * Fix missing sqlite3 dependendcy.
      * Fix UDP receive buffer ownership.

    - Update to version 4.12.0
      * Update khash to the latest version (#1919).
      * Update readme to match latest changes (#1920).
      * Update docs for drop-invalid-packets and         response-origin-only-with-rfc5780.
      * Multiplexpeer (#1916).
      * Fix TTL/TOS type conversion (#1915).
      * turnutils_uclient: sender thread pool + UDP-GSO send batching +         recv_pps reporting (#1913).
      * Fix memory leak introduced by recvmmsg path (#1912).
      * turnutils_uclient: multi-threaded listener (recv) pool.
      * examples/turnserver.conf: update description of cli option.
      * turnutils_uclient: Linux recvmmsg receive path + larger         SO_RCVBUF (#1910).
      * Add UDP-GSO send path (--udp-gso) (#1907).
      * turnutils_peer: Linux fast path with drain loop,         recvmmsg/sendmmsg, U (#1908).
      * Relay recvmmsg (#1906).
      * fuzzing: use hex escapes for HTTP EOH dictionary entry.
      * Sync turnserver man page with current CLI options (#1903).
      * Remove stale --ne option from turnserver --help (#1904).
      * Restore CodeQL permissions, category, and manual build mode.

    - Update to version 4.11.0
      * Filc harness and pointer typedefs (#1896).
      * Load generator mode in turnutils_uclient (#1894).
      * Cache hot lookups in TURN data-path handlers (#1893).
      * Inline get_ioa_addr_len() in the header (#1891).
      * Trim two redundant checks from per-packet relay hot path.
      * Hoist turn_server_get_engine() out of per-packet hot path.
      * Add fuzz coverage for integrity helpers (#1888).
      * Add deterministic challenge-response builder to FuzzStun.
      * Seed address-mapping table in fuzz initializer (#1885).
      * Unblock fuzz coverage for is_http and rare STUN attributes.
      * HTTP parsing fixes (#1882).
      * Out of bound HTTP detection in parser (#1877).
      * Delete log line per relay thread on start (#1876).
      * Add Unity-based unit test scaffolding (#1875).
      * Drop udp_relay_servers_number config and clean up dead UDP         id-space (#1874).
      * Fix build failure: define _GNU_SOURCE for recvmmsg() on Linux.
      * Pin session origin only after MESSAGE-INTEGRITY validates.
      * Abort on malformed allowed/denied-peer-ip at startup (#1872).
      * Fix format-string injection in Redis DB driver (#1870).
      * Use constant-time compare for STUN MESSAGE-INTEGRITY HMAC.

    - Update to version 4.10.0
      * Skip response buffer allocation for STUN indications.
      * WebRTC Auth optimization path (#1860).
      * Fix null pointer dereferences in post_parse() (#1859).
      * Extend seed corpus (#1858).
      * Add Linux-only `recvmmsg` receive path for DTLS/UDP listener.
      * Fix Linux build warnings (#1853).
      * perf: remove mutex from per-thread super_memory allocator.
      * Keep only NEV_UDP_SOCKET_PER_THREAD network engine.
      * Fix stack buffer overflow in OAuth token decoding.
      * Update config and Readme files about deprecated TLSv1/1.1.
      * perf: eliminate mutex and reduce copies on auth message         dispatch (#1843).
      * perf: replace mutex_bps with lock-free atomics for bandwidth         tracking.
      * Fix uint16_t truncation overflow in stun_get_message_len_str()         causes (#1844).
      * fix: restore RFC 3489 (old STUN) backward compatibility broken         since 4.7.0 (#1839).
      * Change port identifiers to use uint16_t (#1752).
      * Fixes: run_tests.sh and no db (#1834).
      * Add session usage reporting callback to TURN database driver.
      * Initialize variables before use (#1832).
      * Replace perror with logging (#1831).
      * CLI interface is disabled by default.
      * Disable reason string in response messages to reduce         amplification factor.
      * Perf: improve worst case scenario optimization.
      * Fix compilation warnings (#1822).

    Fixes for CVE-2026-27624 (boo#1258847) and CVE-2025-69217 (boo##1255744)

    - Update to version 4.9.0
      * Multiple security fixes.
      * Fix to Web Admin password check.
      * Cleanup of deprecated openssl APIs.
      * Fix for CVE-2026-27624: bypass localhost and IP range block         using IPv4-mapped IPv6. boo#1258847
    - Update to version 4.8.0
      * Faster packet validation on listener threads to improve         handling of DDoS attacks.
      * Make socket buffer size configurable with sock-buf-size.
      * Address memory leaks and potential crashes.
      * Improve random number usage to address CVE-2025-69217.
        boo#1255744

    - Update to version 4.7.0
      * Breaking changes in order to get to sane defaults for improved         security by default
        - Support for openssl 1.1.1 and 3.x only.
        - Cleanup deprecated options - if your scripts have them           turnserver will fail to start.
        - Reverse SOFTWARE_ATTRIBUTE_OPT to avoid inverse logic - now           need to explicitly enable it.
        - Deprecate response-origin-only-with-rfc5780.
        - Invert no-stun-backward-compatibility to be default on.
      * TLSv1 and TLSv1_1 are now optional (no need to turn them off).
      * Minor bug fixes and regressions.
      * Improved support for modern version of prometheus.

    - Upgrade to coturn 4.6.3
      * Release highlights:
        - Multiple memory fixes
        - New drain feature
        - Better support for new versions of Redis
        - Add support for raw public keys

      * Complete change list
        - Add clang-tidy, include-what-you-use, and msvc-analyzer github actions
        - Add CodeQL workflow
        - added missing function prototype of turn_random_number()
        - Added sessionID to some log lines
        - added support for amazon linux and renamed tests.yml
        - added warnings for prometheus apt unavailability
        - Add github action that runs tests with compiler sanitizers
        - Additional refactoring of ns_turn_allocation.* to address security           scanner concerns
        - Add MariaDB support to README.md
        - Add new Drain feature
        - Add prometheus setting suggestions on turn.conf in example folder
        - Address clang-tidy warnings in db files
        - Address some build issues introduced by api changes
        - Add support for raw public keys
        - Add the InsertBraces command for clang-format to ensure that all           conditionals always have braces
        - Add warning and disable web admin if no-tls option used
        - Adjust wording in cmake message when prometheous cannot be found.
        - Allow authenticating with a username to redis
        - Always run lint, regardless of branch
        - Avoid nullptr dereference of server variable in various functions
        - avoid potential nullptr derefernence in udp_create_server_socket
        - Avoid read-past-end of string in get_bold_admin_title
        - Avoid writing potentially uninitialized data to aes_128 key file
        - changed variables in stunclient.c to bool
        - Change minimal required cmake version to 3.16
        - Change printf() to TURN_LOG_FUNC() for --no-stdout-log
        - Change the various map functions to return bool instead of           inconsistantly return 0, 1, or -1
        - Check allocation results in add_static_user_account
        - Check the result of calloc in handle_logon_request
        - Check the result of malloc in del_alt_server
        - Check the result of malloc in mongo_set_realm_option_one
        - Check the result of malloc in send_message_to_redis
        - Check the result of malloc in string_list_add
        - Check the result of realloc and calloc in ch_map_get
        - CMake: Declare the variable nearby
        - configure: data files shouldn't be executable
        - defined a magic number for stun fingerprinting
        - Delete dead code
        - Delete unused variable
        - Doc: add flowchart
        - Easy installation of coturn on AWS
        - Fix buffer overflow in generate_enc_password with increase rsalt by 2
        - Fix build with libressl 3.6+
        - Fix clang-format lint warnings
        - Fix cli auth
        - Fix Cmake find issue in libevent
        - Fix cmake find prometheus(fix #1304)
        - Fix compiler warnings from continuous integration
        - Fix const during free warning in rfc5769check app
        - Fix error of make command in Cygwin environment
        - Fix formatting to fix lint error
        - Fix lint complaint about comment
        - Fix lint errors
        - Fix linting error in mainrelay.c
        - Fix make lint
        - Fix memcpy len checks stun_is_challenge_response_str
        - Fix memleak in pgsql_reread_realms
        - Fix memory leak in netengine.c
        - Fix memory leak in rfc5769check.c
        - Fix memory leak on http_server.c
        - Fix mingw build
        - Fix missing strncpy in fix_stun_check_message_integrity_str
        - Fix msvc analyzer error on goto label on rfc5769check
        - Fix nodejs/glibc problem with old container images.
        - Fix no-tls warning typo
        - Fix potential null passed to function expecting nonnull
        - Fix recursive call in delete alternate server
        - Fix return correct error code for `create_relay_connection` in case           of `RESERVATION-TOKEN` failure
        - Fix rpm version scripts
        - Fix run cmake.yml in any github action
        - Fix typos
        - Fix ubuntu 16 build with GH action checkout version to v3
        - Implement custom prometheus http handler
        - Include what you use
        - Install openssl-1.1.1 on amazonlinux:2 instead of openssl-1.0.1
        - malloc now allocates space for string terminator
        - Memset user_db before reading conf file, not after
        - Missing session ID in coturn logs for denied IP - 1330
        - Move the hiredis_libevent2 code from common to relay
        - Only set MHD_USE_DUAL_STACK if IPv6 is available
        - Print version only, no extra lines
        - Reduce ifdefs in code: TURN_NO_PROMETHEUS
        - Refactor: peer_input_handle
        - Reformat code
        - Remove unimplemented test folder reference from CMakeLists.txt
        - Replace HeapAlloc with malloc
        - Replace srand/rand with srandom/random
        - Return a 400 response to HTTP requests
        - Run all of the CI except for Docker builds on any change
        - Simplify macOS detection macros
        - Simplify workflow for codeql
        - strncpy doesn't return size_t
        - ubuntu build dependencies extracted to composite actions
        - Update FlowChart
        - Update libtelnet
        - Update lukka/run
        - Update SQLite.md
        - Update turnserver.conf Example about listening-ip
        - Update turnserver.spec
        - Update version in vcpkg.json
        - Use active CPU number instead of total number
        - Use bool, instead of int, for the functions in ns_turn_msg.c
        - Use bool over int for the turnutils_uclient program
        - Use calloc where appropriate, avoid memset when normal buffer           initialization works
        - Windows: Only attempt to bind when the network interface is up
        - workflow tidying

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 42 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-c75d08ab90 advisory.

    - Backport upstream patches for CVE-2025-69217 (#2425955)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-c9fb3f5806 advisory.

    - Backport upstream patches for CVE-2025-69217 (#2425955)

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
281680	Linux Distros 未修补的漏洞：CVE-2025-69217	Nessus	Misc.	1/5/2026	7/20/2026	high
281680	Linux Distros 未修補的弱點：CVE-2025-69217	Nessus	Misc.	1/5/2026	7/20/2026	high
324885	openSUSE 16 セキュリティ更新:coturn(openSUSE-SU-2026:21184-1)	Nessus	SuSE Local Security Checks	7/2/2026	7/2/2026	medium
282622	Fedora 42coturn2026-c75d08ab90	Nessus	Fedora Local Security Checks	1/12/2026	1/12/2026	high
282627	Fedora 43coturn2026-c9fb3f5806	Nessus	Fedora Local Security Checks	1/12/2026	1/12/2026	high
281680	Linux Distros のパッチ未適用の脆弱性: CVE-2025-69217	Nessus	Misc.	1/5/2026	7/20/2026	high
281680	Linux Distros Unpatched Vulnerability : CVE-2025-69217	Nessus	Misc.	1/5/2026	7/20/2026	high
324885	openSUSE 16 Security Update : coturn (openSUSE-SU-2026:21184-1)	Nessus	SuSE Local Security Checks	7/2/2026	7/2/2026	medium
282622	Fedora 42 : coturn (2026-c75d08ab90)	Nessus	Fedora Local Security Checks	1/12/2026	1/12/2026	high
282627	Fedora 43 : coturn (2026-c9fb3f5806)	Nessus	Fedora Local Security Checks	1/12/2026	1/12/2026	high

Detections

Analytics

Plugins Search

high

high

medium

high

high

high

high

medium

high

high