AudioCodes masa telefonlarında ve Zoom’un Zero Touch Provisioning’inde (ZTP) kötü niyetli bir saldırgan tarafından uzaktan saldırılar gerçekleştirmek için potansiyel olarak istismar edilebilecek birden fazla güvenlik açığı ifşa edildi.
SySS güvenlik araştırmacısı Moritz Abrell Cuma günü yayınlanan bir analizde, “AudioCodes Ltd.’nin masa telefonlarında keşfedilen güvenlik açıklarından ve Zoom’un Sıfır Dokunma Sağlama özelliğinden yararlanan harici bir saldırgan, cihazların tam uzaktan kontrolünü ele geçirebilir.” Dedi.
Serbest erişim daha sonra odalara veya telefon görüşmelerine kulak misafiri olmak, cihazlar arasında gezinmek ve kurumsal ağlara saldırmak ve hatta virüslü cihazlardan bir botnet oluşturmak için silah haline getirilebilir. Araştırma, bu hafta başlarında Black Hat USA güvenlik konferansında sunuldu.
Sorunların kökü, BT yöneticilerinin VoIP cihazlarını merkezi bir şekilde yapılandırmasına izin veren Zoom’un ZTP’sinden kaynaklanmaktadır; böylece kuruluşların cihazları gerektiği gibi ve gerektiğinde izlemesini, sorunlarını gidermesini ve güncellemesini kolaylaştırır. Bu, cihazlara yapılandırmalar ve üretici yazılımı güncellemeleri sağlamak için yerel ağ içinde dağıtılan bir web sunucusu aracılığıyla gerçekleştirilir.
Spesifik olarak, yapılandırma dosyalarının ZTP hizmetinden alınması sırasında istemci tarafı kimlik doğrulama mekanizmalarından yoksun olduğu ve bu nedenle bir saldırganın hileli bir sunucudan kötü amaçlı ürün yazılımı indirmesini potansiyel olarak tetikleyebileceği bir senaryoya yol açtığı bulundu.
Çalışma ayrıca AudioCodes VoIP masa telefonlarının (Zoom ZTP’yi destekleyen) kriptografik rutinlerinde, yapılandırmayı getirmek için telefon tarafından kullanılan bir yeniden yönlendirme sunucusu aracılığıyla iletilen parolalar ve yapılandırma dosyaları gibi hassas bilgilerin şifresinin çözülmesine izin veren uygunsuz kimlik doğrulama sorunlarını ortaya çıkardı. .
Sertifikalı donanımdaki doğrulanmamış sahiplik hatası ve kusurlar gibi ikiz zayıflıklar, Zoom’un ZTP’sini kötüye kullanarak ve rastgele aygıtları yüklemesi için tetikleyerek kötü amaçlı ürün yazılımı dağıtmak için bir istismar zincirine dönüştürülebilir.
Abrell, “Birleştirildiğinde, bu güvenlik açıkları rastgele cihazları uzaktan ele geçirmek için kullanılabilir. Bu saldırı yüksek oranda ölçeklenebilir olduğundan, önemli bir güvenlik riski oluşturur.”
Açıklama, Alman siber güvenlik şirketinin Microsoft Teams Doğrudan Yönlendirme işlevinde, kurulumları geçiş ücreti dolandırıcılığı saldırılarına açık hale getirebilecek bir güvenlik sorunu tespit etmesinden yaklaşık bir yıl sonra geldi.
Abrell o sırada “Dış, kimliği doğrulanmamış bir saldırgan, Microsoft’tan geliyormuş gibi davranan ve bu nedenle kurbanın Oturum Sınırı Denetleyicisi tarafından doğru bir şekilde sınıflandırılan özel hazırlanmış SIP mesajları gönderebilir” dedi. “Sonuç olarak, mağdurun telefon hattı üzerinden yetkisiz dış aramalar yapılıyor.”