VoIP-Sicherheitslücken: Viele Büro-Telefonanlagen grundlegend unsicher

Fast alle Telefonanlagen in größeren Firmen und Organisationen funktionieren mittlerweile via Voice-over-IP (VoIP). Geräte dieser Anlagen sind in der Regel über das lokale Firmennetz untereinander verbunden und lassen sich vom Admin über ein Web-Interface verwalten. Wie Sicherheitsforscher des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT) in Darmstadt nun offenlegten, haben viele dieser Web-Interfaces verheerende Sicherheitslücken über die sich die Telefonanlage kapern lässt.

In einigen Fällen gelang es ihnen sogar, auf diesem Wege andere Computer im betroffenen Netzwerk anzugreifen, in dem sie über die Telefonanlage Schadcode ins Netzwerk brachten. Das komplette Lahmlegen der Telefonsysteme ist ein weiteres Angriffsszenario, das in vielen Fällen möglich war. Für alle diese Angriffe muss ein Hacker allerdings bereits Zugriff zum internen Netzwerk haben, für manche Angriffe braucht er eine gültige Anmeldung für das VoIP-System.

25 Hersteller betroffen

Von den 16 verschiedenen Sicherheitslücken sind laut dem Fraunhofer SIT insgesamt 33 verschiedene Geräte von 25 Herstellern betroffen. Diese haben im Vorfeld der Veröffentlichung bereits Firmware-Updates bereitgestellt, die auf den betroffenen Geräten dringend installiert werden sollten, um die Sicherheitslücken abzudichten. Betroffen sind unter anderem Geräte der Marken Akuvox, Alcatel-Lucent, AudioCodes, Auerswald, Atcom, Gigaset, Htek, Obihai, Unify und Yealink. Mehr Informationen zu den einzelnen Sicherheitslücken, betroffenen Herstellern und eventuellen Updates finden sich auf der Webseite des Fraunhofer SIT.

Die Sicherheitslücken sind eine Ansammlung verschiedener Probleme, die sich überraschend oft in Web-Interfaces von Embedded-Systemen finden. Bei den meisten handelt es sich um Programmierfehler, die dazu führen, dass Skripte, die vom lokalen Webserver auf dem Gerät ausgeführt werden, ihre Inputs nicht sorgfältig oder gar nicht prüfen. Ein Angreifer kann so entweder Daten auf dem Gerät manipulieren (und sich so zum Beispiel eine gültige Anmeldung verschaffen) oder direkt eigenen Shell-Code einschießen, der dann vom Web-Server ausgeführt wird.

In einigen Fällen finden sich ähnliche Schwachstellen in System-Diensten, die auf Eingaben aus dem Netzwerk warten und die ebenfalls auf ähnliche Weise missbraucht werden können. Bei anderen der Sicherheitslücken handelt es sich um Speicherverwaltungsfehler in Software-Komponenten des VoIP-Systems, die ebenfalls dazu missbraucht werden können, Daten zu verändern oder Schadcode auszuführen.

Potenziell verheerende Auswirkungen

In einer Pressemitteilung sagen die Fraunhofer-Forscher, dass sie es nicht erwartet hätten, "so viele derart kritische Lücken" zu finden, "da diese Geräte schon lange auf dem Markt sind und sie dementsprechend getestet und sicher sein müssten." Beobachter, die sich öfter mit der Sicherheit von Embedded-Systemen befassen, werden allerdings weit weniger überrascht sein. Entsprechende Sicherheitslücken, vor allem in Web-Servern, die Administrations-Oberflächen bereitstellen, werden fast täglich aufgedeckt. Solche Lücken sind bei Heimroutern, Netzwerk-Kameras und Smart-Home-Hardware mittlerweile fast an der Tagesordnung. Es überrascht daher wenig, dass auch Telefonanlagen entsprechend verwundbar sind.

Trotzdem sollte man den Entdeckungen der Fraunhofer-Forscher die nötige Aufmerksamkeit zollen. Telefonsysteme sind das Rückgrat der Organisation vieler großer Unternehmen und ein Ausfall kann sich verheerend auf deren Betriebsprozesse auswirken. Außerdem eignen sich diese Lücken hervorragend zum Ausspionieren von Betriebsgeheimnissen, da viele VoIP-Systeme das Mitschneiden von Anrufen ermöglichen. Angreifer, die bereits in ein internes Netz eingedrungen sind, könnten die Lücken außerdem missbrauchen, um einen neuen Brückenkopf zu etablieren und sich so noch hartnäckiger im Netz ihres Ziels festzusetzen. Auch die Möglichkeit, die Aufklärung eines fortschreitenden Hackerangriffs zu stören, indem die Telefonanlage der Ziel-Organisation lahmgelegt wird, sollte nicht außer Acht gelassen werden. (fab)