Lücken in IP-Telefonie-Produkten von Cisco

Der Netzwerkausrüster Cisco hat zwei Sicherheitsmeldungen zu Schwachstellen in den Produkten IP-Phone und dem Unified Communications Manager veröffentlicht, die Angreifern das Einschleusen von Schadcode, Denial-of-Service-Attacken oder das Auslesen von vertraulichen Informationen ermöglichen. Der Hersteller stellt Updates bereit, die die Lücken schließen.

In einigen IP-Phones, die eine Firmware mit SCCP- und SIP-Unterstützung nutzen, kann bei der Verarbeitung präparierter DNS-Antworten ein Puffer überlaufen und eingeschleuster Code ausgeführt werden. IP-Phones, die nur das Skinny-Client-Control-Protokoll (SCCP) nutzen, können möglicherweise fremden Code ausführen, wenn Angreifer manipulierte Pakete an den internen SSH-Server schicken. Außerdem können die Telefone beim Empfang großer Ping-Pakete abstürzen und neu starten. Dasselbe passiert beim Verarbeiten von manipulierten HTTP-Anfragen an den integrierten HTTP-Server der Telefone.

In den Routinen zur Verarbeitung des Session-Initiation-Protokolls (SIP) können Angreifer drei Schwachstellen zum Ausführen beliebigen Programmcodes missbrauchen. Die IP-Phones patzen beim Dekodieren manipulierter SIP-Nachrichten mit MIME-kodierten Inhalten. Beim Verarbeiten präparierter Pakete bei der Challenge-Response mit einem SIP-Proxy kann ebenfalls Schadcode zur Ausführung gelangen. Ist der eingebaute Telnet-Server aktiviert, können angemeldete Nutzer mit nicht genannten Befehlen ihre Rechte ausweiten und ebenfalls beliebigen Code ausführen.

Im Unified Messaging Server können angemeldete Nutzer SQL-Befehle mit dem Parameter key in den Administrator- und Anwenderseiten absetzen, um beispielsweise Benutzernamen und Passwort-Hashes aus der Datenbank auszulesen. Betroffen sind die Server vor den Versionen 5.1(3a) und 6.1(1a).

Cisco listet in den Sicherheitsmeldungen die diversen betroffenen IP-Telefon-Modelle mitsamt der Firmware-Versionen auf, die die Fehler nicht mehr enthalten. Registrierte Nutzer können die Firmware-Versionen auf den Seiten des Herstellers herunterladen. Auch für die Unified Messaging Server stellt Cisco registrierten Nutzern aktualisierte Software bereit. Administratoren sollten die Updates so schnell wie möglich einspielen.

Siehe dazu auch:

• Cisco Unified IP Phone Overflow and Denial of Service Vulnerabilities, Sicherheitsmeldung von Cisco
• SQL injection in Cisco Unified Communications Manager, Fehlermeldung von Cisco

(dmk)