coTURN, el servidor TURN/STUN de código abierto más usado para relay de tráfico WebRTC, arrastra una inyección SQL (CWE-89) en la función del portal web de administración presente en versiones anteriores a la 4.5.0.9. Un atacante puede enviar un mensaje de login con un nombre de usuario especialmente manipulado para inyectar SQL y saltarse la autenticación, obteniendo acceso al panel de administración del servidor TURN a través de su interfaz externa.
El impacto es alto: CVSS 9.8 y severidad CRITICAL según el aviso GHSA-c3pf-948r-8592, con una probabilidad de explotación real del 3% en 30 días (percentil 87% de EPSS). Sin embargo, Shodan no tiene actualmente ningún host indexado con este CVE detectado, lo que sugiere que la exposición real en internet es baja o que los escaneos no lo identifican. Aun así, si administras un coTURN con el portal web expuesto, actualiza a 4.5.0.9 o superior.
| CVE | CVE-2018-4056 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 3.0% en 30 días (percentil 87) |
| CWE | CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.