На конференции Black Hat обсудили ненадежность софтверных IP-телефонов

image

Теги: Black Hat

Исследователи показали, как при помощи VoIP-протокола SIP можно захватить контроль над компьютером через приложение, уязвимое к переполнению буфера.

Системы интернет-телефонии (VoIP), основанные на так называемых «софтверных телефонах», могут содержать тысячи уязвимостей, утверждают исследователи лаборатории Sipera Systems – VIPER Lab. Некоторые из уязвимостей были продемонстрированы на конференции Black Hat в Лас-Вегасе, сообщил Scmagazine.com. Проблема начнёт проявляться по мере перевода IP-телефонии из корпоративных сетей в интернет.

Исследователи показали, как при помощи VoIP-протокола SIP можно захватить контроль над компьютером через приложение, уязвимое к переполнению буфера. Технология, однако, использует уязвимости VoIP и SIP, отметил директор по маркетингу Sipera Эрик Винсборроу (Eric Winsborrow). SIP и клиентские приложения (софтверные телефоны), такие, как, например, для Microsoft Office Communication Server (OCS), используют всегда открытые TCP-порты 5060 и 5061. Это позволяет атаковать систему в любое время, в отличие, например, от атак через веб-клиенты (браузеры), которые открывают порты только для загрузки страниц.

По заявлению основателя и технического директора Sipera Кришны Курапати (Krishna Kurapati), исследователи компании открыли более 20 тыс. потенциальных уязвимостей в VoIP-приложениях. Эти уязвимости не могут быть обнаружены и предотвращены при помощи традиционных антивирусов.

Уязвимая природа VoIP начнёт проявляться по мере перехода компаний с VoIP 1.0 (по терминологии Sipera) – систем, работающих во внутренних сетях (WAN), на VoIP 2.0 – глобальные телефонные сети на базе IP, где приложения, находящиеся на клиентских компьютерах, будут доступны из интернета, считают специалисты Sipera. Тогда службы ИТ-безопасности компаний ожидают трудные времена.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.

comments powered by Disqus