JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024408 CoturnはTURNおよびSTUNサーバの無料オープンソース実装です。バージョン4.13.0より前のCoturnでは、allow-loopback-peersが有効化されていない限り、デフォルトでループバックピアを拒否します。しかし、IPv4マップドIPv6ピアアドレス::ffff:127.0.0.1をTURNのXOR-PEER-ADDRESS属性に使用することで、デフォルトのループバックガードを回避できます。ioa_addr_is_loopbackはIPv4マップドIPv6アドレスの処理前にリテラルのIPv6ループバックアドレスのみをチェックするため、good_peer_addrはデフォルトのループバック拒否を適用せず、認証済みTURNクライアントがcoturnホスト上のlocalhostにのみバインドされたサービスをTURNリレー通信を通じて公開できてしまいます。この問題はバージョン4.13.0で修正されています。 cpe:/a:coturn_project:coturn https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024408.html Common Vulnerabilities and Exposures (CVE) CVE-2026-53450 https://www.cve.org/CVERecord?id=CVE-2026-53450 National Vulnerability Database (NVD) CVE-2026-53450 https://nvd.nist.gov/vuln/detail/CVE-2026-53450 GitHub IPv4-mapped 127.0.0.1 bypasses default loopback peer protection Advisory coturn/coturn GitHub https://github.com/coturn/coturn/security/advisories/GHSA-w4hf-cr3w-6h79 JVNDB CWE-918 https://cwe.mitre.org/data/definitions/918.html 関連文書 Merge commit from fork coturn/coturn@b057acb GitHub https://github.com/coturn/coturn/commit/b057acbebe721c8f2f202ddad5e16289e295c754 2026-07-21T10:43:17+09:00 2026-07-21T10:43:17+09:00