安全研究人員在Avaya制造的企業(yè)VoIP桌面電話的流行模型中發(fā)現(xiàn)了一個關(guān)鍵的遠(yuǎn)程代碼執(zhí)行漏洞。該漏洞使黑客能夠完全控制設(shè)備，收聽電話，甚至將手機變成間諜設(shè)備。

這個問題是由安全公司McAfee的研究人員發(fā)現(xiàn)的，并于周四在拉斯維加斯的DEF CON安全會議上公布。但是，固件更新自6月25日起可用。

該漏洞位于DHCP服務(wù)中，允許設(shè)備自動獲取網(wǎng)絡(luò)上的IP地址。攻擊者可以通過向設(shè)備發(fā)送惡意修改的DHCP響應(yīng)來利用它，這些設(shè)備不需要身份驗證，并且可以通過網(wǎng)絡(luò)的合法DHCP服務(wù)器贏得競爭條件。

該缺陷是緩沖區(qū)溢出，可導(dǎo)致使用root權(quán)限執(zhí)行代碼。這意味著攻擊者可以完全控制手機的操作系統(tǒng)，可以執(zhí)行任何操作，包括欺騙呼叫，更改用戶在顯示屏上看到的消息，打開音頻呼叫或打開內(nèi)置麥克風(fēng)以窺探附近的對話。

“有很多不同的攻擊媒介，但我們認(rèn)為最有趣的是基于麥克風(fēng)的窺探攻擊，這就是我們用來構(gòu)建演示的內(nèi)容，”邁克菲高級威脅研究主管Steve Povolny告訴CSO 。

易受攻擊的設(shè)備型號

McAfee團隊發(fā)現(xiàn)并確認(rèn)了Avaya 9600系列IP Deskphone上的漏洞。但是，根據(jù)Avaya的建議，J100系列IP電話和B100系列會議電話也受到影響。

只有運行固件版本6.8.1及更早版本且配置了H.323信令而非SIP的電話才會受到影響。該公司建議用戶升級到固件版本6.8.2或更高版本。幸運的是，可以從中央服務(wù)器管理這些設(shè)備，因此可以自動部署更新。

舊的無法維護的代碼有問題

事實證明，該漏洞實際上已在十年前在dhclient中得到修補，dhclient是Avaya在其固件中使用的開源組件。問題是，在十年前分發(fā)開源代碼之后，該公司沒有更新它或從上游反向安裝補丁。因此，Avaya手機使用的是2007年的dhclient版本。

這是許多嵌入式設(shè)備和專有軟件項目的常見問題，這些項目通常嚴(yán)重依賴于開源代碼和庫。過去的研究表明，許多公司和設(shè)備制造商都沒有跟蹤哪些版本的開源庫被使用，這意味著他們也沒有跟蹤后來在這些項目中發(fā)現(xiàn)和修復(fù)的安全問題。

在本周Black Hat關(guān)于企業(yè)SSL VPN漏洞的另一場演講中，研究人員發(fā)現(xiàn)，頂級供應(yīng)商的VPN設(shè)備使用的是過時的數(shù)據(jù)解析庫，甚至是2002年的Apache Web服務(wù)器版本。好消息是現(xiàn)在增加了努力創(chuàng)建有助于公司維護軟件物料清單的標(biāo)準(zhǔn)，這有助于解決其中的一些問題。