vrijdag, januari 20, 2006

Lekken in Cisco VoIP producten

Cisco CallmanagerCisco heeft twee lekken ontdekt in Cisco Callmanager. In het eerste geval kan een kwaadwillende de Cisco VoIP telefooncentrale lamleggen. Door het tweede lek kunnen personen met 'alleen lezen'-rechten de eigen privileges opwaarderen en zo alle rechten krijgen.

Omdat Callmanager de netwerkconnecties niet correct afhandelt, is deze gevoelig voor zogeheten denial of service (dos)-aanvallen . "Hierdoor kunnen telefoons uitvallen of start Callmanager opnieuw op", aldus de waarschuwing.

Callmanager 3.2 en oudere versies zijn sowieso vatbaar voor de lekken. Tevens kunnen de problemen zich voordoen in versies 3.3, 4.0 en 4.1. Cisco heeft patches online gezet om de lekken te dichten.

Cisco heeft tevens een patch beschikbaar gesteld voor een lek in het Internetwork Operating System (IOS) . Dit besturingssysteem draait op routers en switches van de fabrikant. Sommige IOS-versies bevatten een functionaliteit genaamd Stack Group Bidding Protocol (sgbp), die door een lek misbruikt kan worden om denial of service-aanvallen uit te voeren. Hiervoor moet de aanvaller een bewerkt netwerkpakket sturen naar het Cisco-product.

Volgens Cisco waren de lekken niet bekend en doet er geen kwaadaardige code die misbruik kan maken van de lekken.

Via The Register