Cisco IP Telefonlarında Kritik Güvenlik Açığı Keşfedildi
Cisco, IP telefon web sunucusunda kimliği doğrulanmamış bir saldırgan tarafından uzaktan kod yürütülmesine olanak sağlayan kritik bir güvenlik açığının önüne geçti.
Cisco, IP telefonlarının web sunucusunda kritik bir hata olduğuna dikkat çekiyor. Bu açıktan yararlanan kimliği doğrulanmamış bir saldırgan sunucu üzerinde kod çalıştırabiliyor veya bir hizmet reddi (DoS) saldırısı gerçekleştirebiliyor.
CVSS derecisine göre 10 üzerinden 9,8 olan bu güvenlik açığı (CVE-2020-3161) için GitHub’da istismar kodu yayınlanmıştır. Cisco, bu zafiyet için bir düzeltme eki yayınladı, bu da küçük ve orta ölçekli işletmelerde kullanılan Cisco IP telefonlarının çeşitli sürümlerini etkiledi.
Cisco IP telefon web sunucuları HTTP istekleri için parametre dizesinin uzunluğunu kontrol etmiyor. Bu zafiyetten yararlanan saldırgan /deviceconfig/setActivationCode kısmına önceden hazırlamış olduğu bir HTTP isteğini gönderiyor ve ardından taşırma sağlıyor. Bu taşırmadan sonra buffer overflow (ara bellek taşması) gerçekleşiyor. Böylelikle karşıdaki sunucuda zafiyet (exploit) çalışıyor.
Etkilenen ürünler: IP Telefon 7811, 7821, 7841, ve 7861 Masaüstü Telefonları; IP telefon 8811, 8841, 8845, 8851, 8861, ve 8865 Masaüstü Telefonları; IP konferans Telefonu 8831 ve Wifi-IP Telefon 8821 ve 8821-EX.
Cisco’ya göre, bu ürünlerin bazıları (özellikle Kablosuz IP Telefon 8821 ve 8821-EX), şu anda koronavirüs pandemisinin ön saflarında bulunan hastaneler tarafından kullanılmaktadır.
Cisco ayrıca web sitesindeki kusurdan etkilenmeyen çeşitli ürünleri de doğruladı. Cisco’nun yamalarının haricinde, zafiyetin giderilmesi için, IP telefonlarda bulunan web erişimini devre dışı bırakmalısınız. (aslında, IP telefonlarda web erişimi varsayılan olarak devre dışıdır).
For You Bilişim Siber Güvenlik Ekibi olarak veri ve sistem güvenliğinin her alanda ne kadar önemli olduğunun farkındayız. Bu kapsamda sunmuş olduğumuz destekten yararlanmak için bize her zaman ulaşabilirsiniz.
BU KONU HAKKINDA UZMANIMIZDAN HEMEN BİLGİ VE DESTEK ALMAK İSTERSENİZ LÜTFEN FOR YOU BİLİŞİM İLETİŞİM HATTIMIZI ARAYINIZ!..
