Cisco IP Telefonlarında Kritik Güvenlik Açığı Keşfedildi

Cisco, IP telefon web sunucusunda kimliği doğrulanmamış bir saldırgan tarafından uzaktan kod yürütülmesine olanak sağlayan kritik bir güvenlik açığının önüne geçti.

Cisco, IP telefonlarının web sunucusunda kritik bir hata olduğuna dikkat çekiyor. Bu açıktan yararlanan kimliği doğrulanmamış bir saldırgan sunucu üzerinde kod çalıştırabiliyor veya bir hizmet reddi (DoS) saldırısı gerçekleştirebiliyor.

CVSS derecisine göre 10 üzerinden 9,8 olan bu güvenlik açığı (CVE-2020-3161) için GitHub’da istismar kodu yayınlanmıştır. Cisco, bu zafiyet için bir düzeltme eki yayınladı, bu da küçük ve orta ölçekli işletmelerde kullanılan Cisco IP telefonlarının çeşitli sürümlerini etkiledi.

Cisco IP telefon web sunucuları HTTP istekleri için parametre dizesinin uzunluğunu kontrol etmiyor. Bu zafiyetten yararlanan saldırgan /deviceconfig/setActivationCode kısmına önceden hazırlamış olduğu bir HTTP isteğini gönderiyor ve ardından taşırma sağlıyor. Bu taşırmadan sonra buffer overflow (ara bellek taşması) gerçekleşiyor. Böylelikle karşıdaki sunucuda zafiyet (exploit) çalışıyor.

Etkilenen ürünler: IP Telefon 7811, 7821, 7841, ve 7861 Masaüstü Telefonları; IP telefon 8811, 8841, 8845, 8851, 8861, ve 8865 Masaüstü Telefonları; IP konferans Telefonu 8831 ve Wifi-IP Telefon 8821 ve 8821-EX.

Cisco’ya göre, bu ürünlerin bazıları (özellikle Kablosuz IP Telefon 8821 ve 8821-EX), şu anda koronavirüs pandemisinin ön saflarında bulunan hastaneler tarafından kullanılmaktadır.

Cisco ayrıca web sitesindeki kusurdan etkilenmeyen çeşitli ürünleri de doğruladı. Cisco’nun yamalarının haricinde, zafiyetin giderilmesi için, IP telefonlarda bulunan web erişimini devre dışı bırakmalısınız. (aslında, IP telefonlarda web erişimi varsayılan olarak devre dışıdır).

Fordefence Siber Güvenlik Ekibi olarak veri ve sistem güvenliğinin her alanda ne kadar önemli olduğunun farkındayız. Bu kapsamda sunmuş olduğumuz destekten yararlanmak için bize her zaman ulaşabilirsiniz.

E-mail : info@fordefence.com

instagram : https://www.instagram.com/fordefence/?hl=tr

Twitter : https://twitter.com/fordefence

Facebook : https://www.facebook.com/FORDEFENCE/

İlgili Yazılar

2020 Yaz Dönemi Staj Başvuruları Hakkında

Covid-19 salgını nedeniyle 2020 yaz döneminde stajer öğrenci alımı yapılmayacaktır. Fordefence Adli Bilişim Laboratuvarı...
covid-19-tedbirlerinden-mobil-cihaz-temizligi-nasil-olmali

Covid-19 tedbirlerinden Mobil cihaz temizliği nasıl olmalı

Ceo’muz Mustafa SANSAR Haber Global Ana Haber’e ‘Covid-19 tedbirlerinden, Mobil cihaz temizliği nasıl olmalı’ Konularında görüşlerini aktardı. ...
kvkk-kayit-sureleri-uzatildi

KVKK Kayıt Süreleri Uzatıldı

Tüm dünyada olduğu gibi ülkemizde de etkisini gösteren Covid-19 virüs salgını nedeniyle bazı işyerlerinin fiziksel olarak kapalı olduğu veya uzaktan...