CVE-2026-43994: Estouro de buffer na pilha em tokens OAuth do Coturn em decode_oauth_token_gcm()

Visão geral

A CVE-2026-43994 é um estouro de buffer clássico (CWE-120) no Coturn, servidor TURN e STUN de código aberto muito usado para retransmissão de mídia em WebRTC. A falha está na função decode_oauth_token_gcm(): um campo de tamanho de nonce de 16 bits, lido de um token de acesso OAuth fornecido pelo atacante, é usado como tamanho da cópia para um buffer de pilha fixo de 256 bytes sem verificação de limites. Como a cópia ocorre antes da validação AES-GCM, o atacante não precisa da chave OAuth nem de um token válido.

Impacto

Segundo o aviso do fornecedor, até 735 bytes controlados pelo atacante podem ser gravados além do buffer, corrompendo dados adjacentes da pilha, inclusive dados de fluxo de controle, conforme o compilador, a ABI e as mitigações. O aviso descreve isso como uma primitiva plausível de execução remota de código. No mínimo, a queda do servidor (negação de serviço da retransmissão TURN/STUN) é um resultado realista.

• CVSS 3.1 do NVD: 9.8 Crítica (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• CVSS 3.1 do GitHub (CNA): 8.1
• A diferença provavelmente reflete avaliações distintas da complexidade de exploração; ambas indicam gravidade alta.

Produtos e versões afetados

• Coturn em versões anteriores à 4.10.0
• Apenas implantações com o modo --oauth habilitado ficam expostas; o modo não é padrão, mas o aviso observa que costuma ser recomendado.

Status de exploração

A falha não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O NVD marca a referência do aviso com a tag "Exploit", o que sugere que detalhes técnicos suficientes para reprodução são públicos. Não havia pontuação EPSS no registro.

Correção e mitigação

• Atualize para o Coturn 4.10.0, que corrige o problema.
• Se a atualização imediata não for possível, avalie desabilitar temporariamente o modo --oauth e usar outro mecanismo de autenticação, considerando o impacto operacional.
• Restrinja a exposição de rede das portas TURN/STUN quando possível e execute o serviço com privilégios mínimos e proteções de compilação (stack protector, ASLR, pilha não executável).
• Verifique pacotes de distribuições e imagens de contêiner, que podem trazer builds antigos do Coturn.

Orientações de detecção

• Faça inventário das instâncias Coturn e identifique as que rodam versão anterior à 4.10.0 com --oauth habilitado.
• Monitore quedas, reinícios inesperados ou mensagens de aborto do stack protector, que podem indicar tentativas de acionar o estouro.
• Onde o tráfego TURN for inspecionado, procure requisições com tokens de acesso OAuth anormalmente grandes ou malformados.

Limitações das informações disponíveis

O registro não traz dados de EPSS nem SSVC. A viabilidade prática de execução de código depende das mitigações de cada plataforma e não é quantificada nas fontes. Não havia informações sobre correções retroportadas por distribuições de terceiros.

Perguntas frequentes

Quais versões do Coturn são afetadas pela CVE-2026-43994?

Versões do Coturn anteriores à 4.10.0, mas apenas quando o servidor roda com o modo --oauth (não padrão) habilitado.

O atacante precisa de credenciais OAuth válidas?

Não. O estouro ocorre antes da verificação AES-GCM, então o atacante não precisa da chave OAuth nem de um token válido.

A CVE-2026-43994 está sendo explorada ativamente?

Ela não consta no KEV da CISA e não há exploração confirmada nas fontes consultadas, embora o NVD marque o aviso como contendo informações de exploit.

Como corrigir?

Atualize para o Coturn 4.10.0. Como medida temporária, avalie desabilitar o modo --oauth e limitar a exposição de rede do serviço.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.