coTURN, el servidor TURN/STUN de código abierto más usado para relay de tráfico WebRTC, trae por defecto en versiones anteriores a la 4.5.0.9 un portal de administración telnet sin autenticación escuchando en la interfaz loopback. Cualquiera que logre alcanzar ese puerto obtiene acceso de administrador a la configuración del servidor, lo que puede derivar en ataques adicionales sobre el servicio o la red donde corre.
La falla está clasificada como CWE-862 (missing authorization) con CVSS 9.8 y aviso crítico de GitHub. El impacto real depende de cuántos servidores estén expuestos: Shodan no indexa actualmente hosts con este CVE detectado, y EPSS estima solo un 1,9% de probabilidad de explotación en 30 días, así que la urgencia está en actualizar a 4.5.0.9 o superior y restringir el acceso al puerto de administración, más que en una ola activa de ataques.
| CVE | CVE-2018-4059 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 1.9% en 30 días (percentil 79) |
| CWE | CWE-862 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |