Cisco小型商业电话的固件曝高危漏洞 攻击者能监听私人电话

发表于:2015-04-07 10:00:00来源: 红黑联盟 阅读数(0人)

Cisco小型商业电话的固件曝高危漏洞,攻击者可通过该漏洞监听私人电话以及进行远程拨打电话,而且这一系列恶意行为都不需要任何身份验证。


Cisco小型商业电话的固件曝高危漏洞 攻击者能监听私人电话
远程监听以及拨打电话

 

该漏洞(CVE-2015-0670)的存在实际上是由于某些Cisco IP电话的默认配置中含有了一些不恰当的设置。它允许攻击者通过向受影响的设备发送特殊的XML请求来控制该设备。


此外,该漏洞可以被黑客利用来进行远程拨打电话,利用收集到的音频信息对目标进行一系列的其他攻击。


受影响的设备


该漏洞影响到Cisco小型商业SPA300以及SPA500 IP电话且运行的固件版本为7.5.5。然而,Cisco发出警告称在7.5.5后的版本也可能会受到该漏洞影响。


有些电话很有可能配置了一些特殊功能,从网上就可直接访问设备。对于黑客来说就能够十分轻松的通过最近十分流行的Shodan搜索引擎找出存在漏洞版本的设备。


“要想利用该漏洞,首先需要获取信任,然后向目标发送特殊的XML请求”Cisco报告中说道


Cisco方面目前已经确认了由澳大利亚技术分析人员Chris Watts发现并报告的漏洞,Watts还发现了另外两个漏洞——Xss漏洞(CVE-2014-3313)以及一枚本地代码执行漏洞(CVE-2014-3312)。


安全建议


目前Cisco公司还未发布任何修复补丁,只是准备在未来的更新固件中修复该问题。但是公司提供了一些建议来降低风险:


1.建议管理员在受影响的设备中启用XML身份验证的配置


2.建议管理员仅仅运行受信任的用户访问网络


3.建议管理员使用可靠的防火墙策略,确保系统免受外部攻击的影响


4.管理员也可以使用基于ip的访问控制列表(ACLs),只允许可信系统访问受影响的设备


5.管理员密切关注这些存在漏洞的设备


相关新闻

大家都在学

课程详情

网络安全与防护

课程详情

漏洞扫描

课程详情

网络攻击与对抗