流行的AVAYA企业VOIP电话容易受到黑客攻击

2019-08-21 17:09:49    来源:    作者:

安全研究人员在Avaya制造的企业VoIP桌面电话的流行模型中发现了一个关键的远程代码执行漏洞。该漏洞使黑客能够完全控制设备,收听电话,甚至将手机变成间谍设备。

这个问题是由安全公司McAfee的研究人员发现的,并于周四在拉斯维加斯的DEF CON安全会议上公布。但是,固件更新自6月25日起可用。

该漏洞位于DHCP服务中,允许设备自动获取网络上的IP地址。攻击者可以通过向设备发送恶意修改的DHCP响应来利用它,这些设备不需要身份验证,并且可以通过网络的合法DHCP服务器赢得竞争条件。

该缺陷是缓冲区溢出,可导致使用root权限执行代码。这意味着攻击者可以完全控制手机的操作系统,可以执行任何操作,包括欺骗呼叫,更改用户在显示屏上看到的消息,打开音频呼叫或打开内置麦克风以窥探附近的对话。

“有很多不同的攻击媒介,但我们认为最有趣的是基于麦克风的窥探攻击,这就是我们用来构建演示的内容,”迈克菲高级威胁研究主管Steve Povolny告诉CSO 。

易受攻击的设备型号

McAfee团队发现并确认了Avaya 9600系列IP Deskphone上的漏洞。但是,根据Avaya的建议,J100系列IP电话和B100系列会议电话也受到影响。

只有运行固件版本6.8.1及更早版本且配置了H.323信令而非SIP的电话才会受到影响。该公司建议用户升级到固件版本6.8.2或更高版本。幸运的是,可以从中央服务器管理这些设备,因此可以自动部署更新。

旧的无法维护的代码有问题

事实证明,该漏洞实际上已在十年前在dhclient中得到修补,dhclient是Avaya在其固件中使用的开源组件。问题是,在十年前分发开源代码之后,该公司没有更新它或从上游反向安装补丁。因此,Avaya手机使用的是2007年的dhclient版本。

这是许多嵌入式设备和专有软件项目的常见问题,这些项目通常严重依赖于开源代码和库。过去的研究表明,许多公司和设备制造商都没有跟踪哪些版本的开源库被使用,这意味着他们也没有跟踪后来在这些项目中发现和修复的安全问题。

在本周Black Hat关于企业SSL VPN漏洞的另一场演讲中,研究人员发现,顶级供应商的VPN设备使用的是过时的数据解析库,甚至是2002年的Apache Web服务器版本。好消息是现在增加了努力创建有助于公司维护软件物料清单的标准,这有助于解决其中的一些问题。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。