SECURITY - Lücken in IP-Telefonie-Produkten von Cisco

Der Netzwerkausrüster Cisco hat zwei Sicherheitsmeldungen zu Schwachstellen in den Produkten IP-Phone und dem Unified Communications Manager veröffentlicht, die Angreifern das Einschleusen von Schadcode, Denial-of-Service-Attacken oder das Auslesen von vertraulichen Informationen ermöglichen. Der Hersteller stellt Updates bereit, die die Lücken schließen.
In einigen IP-Phones, die eine Firmware mit SCCP- und SIP-Unterstützung nutzen, kann bei der Verarbeitung präparierter DNS-Antworten ein Puffer überlaufen und eingeschleuster Code ausgeführt werden. IP-Phones, die nur das Skinny-Client-Control-Protokoll (SCCP) nutzen, können möglicherweise fremden Code ausführen, wenn Angreifer manipulierte Pakete an den internen SSH-Server schicken. Außerdem können die Telefone beim Empfang großer Ping-Pakete abstürzen und neu starten. Dasselbe passiert beim Verarbeiten von manipulierten HTTP-Anfragen an den integrierten HTTP-Server der Telefone.
In den Routinen zur Verarbeitung des Session-Initiation-Protokolls (SIP) können Angreifer drei Schwachstellen zum Ausführen beliebigen Programmcodes missbrauchen. Die IP-Phones patzen beim Dekodieren manipulierter SIP-Nachrichten mit MIME-kodierten Inhalten. Beim Verarbeiten präparierter Pakete bei der Challenge-Response mit einem SIP-Proxy kann ebenfalls Schadcode zur Ausführung gelangen. Ist der eingebaute Telnet-Server aktiviert, können angemeldete Nutzer mit nicht genannten Befehlen ihre Rechte ausweiten und ebenfalls beliebigen Code ausführen.
Im Unified Messaging Server können angemeldete Nutzer SQL-Befehle mit dem Parameter key in den Administrator- und Anwenderseiten absetzen, um beispielsweise Benutzernamen und Passwort-Hashes aus der Datenbank auszulesen. Betroffen sind die Server vor den Versionen 5.1(3a) und 6.1(1a).
Cisco listet in den Sicherheitsmeldungen die diversen betroffenen IP-Telefon-Modelle mitsamt der Firmware-Versionen auf, die die Fehler nicht mehr enthalten. Registrierte Nutzer können die Firmware-Versionen auf den Seiten des Herstellers herunterladen. Auch für die Unified Messaging Server stellt Cisco registrierten Nutzern aktualisierte Software bereit. Administratoren sollten die Updates so schnell wie möglich einspielen.