ADPT

นักวิจัยพบช่องโหว่อายุ 10 ปีบนโทรศัพท์ Avaya VoIP แนะผู้ใช้เร่งอัปเดต

นักวิจัยด้านความมั่นคงปลอดภัยจาก McAfee ได้ค้นพบช่องโหว่เก่าที่มีอายุกว่า 10 ปี หลงเหลืออยู่ในซอฟต์แวร์โอเพ่นซอร์สที่ใช้ในเฟิร์มแวร์ของโทรศัพท์ Avaya VoIP ซึ่งอาจนำไปสู่การลอบรันโค้ดเพื่อเข้าถึงการสนทนาเสียงได้

เครดิต : McAfee

ช่องโหว่หมายเลข CVE-2009-0692 ซึ่งจะเห็นได้ว่าอายุครบ 10 พอดี ได้ถูกพบในซอฟต์แวร์โอเพ่นซอร์สของ Avaya IP Deskphone ซีรี่ย์ 9600, IP Phone J100 และ Conference Phone B100 ทั้งนี้จะส่งผลกระทบต่อซอฟต์แวร์แสต็ก H.323 เท่านั้น (ไม่เกี่ยวกับ SIP) อย่างไรก็ดีช่องโหว่ข้างต้นเป็น Stack Buffer Overflow ใน ISC DHCP Client ที่คนร้ายสามารถส่ง DHCP Respond อันตรายกลับมาเพื่อทำให้เกิด Crash หรือ RCE

โดยนักวิจัยได้สาธิตช่องโหว่เพื่อลอบดักจับเสียงตามวีดีโอด้านล่าง หรือผู้สนใจสามารถอ่านรายละเอียดเพิ่มเติมได้จากบล็อกของ McAfee สำหรับในฝั่งของ Avaya เองได้ออกแพตช์มาเรียบร้อยแล้ว ดังนั้นจึงแนะนำให้ผู้เกี่ยวข้องเร่งอัปเดตครับ แต่หลังจากแพตช์ปัญหาข้างต้นไป Avaya ก็ได้เผยการค้นพบช่องโหว่ CVE-2011-0997 เพิ่มใน ISC DHCP ที่ทำให้เกิด RCE ได้ไว้ใน Advisory  

ที่มา :  https://www.bleepingcomputer.com/news/security/avaya-voip-phones-harbored-10-year-old-vulnerability/ และ  https://www.zdnet.com/article/decade-old-remote-code-execution-bug-found-in-phone-used-by-up-to-90-percent-of-fortune-500/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

Bitdefender ออก Universal Decryptor สำหรับเหยื่อของแรนซัมแวร์ REvil/Sodinokibi

Bitdefender ออก Universal Decryptor สำหรับผู้ประสบภัยจากแรนซัมแวร์ REvil/Sodinokibi ที่ถูกโจมตีก่อนวันที่ 13 กรกฏาคมที่ผ่านมา

Palo Alto Network เปิดตัวผลิตภัณฑ์ใหม่ส่งการป้องกันระดับองค์กรผ่าน อุปกรณ์ใช้งานในบ้าน ‘Okyo Garde’

เมื่อการทำงานเกิดขึ้นจากที่บ้าน ดังนั้นความเสี่ยงขององค์กรก็เกิดขึ้นจากที่บ้านด้วยเช่นกัน ซึ่งไอเดียใหม่ของ Palo Alto Networks คือการออกโซลูชันใหม่ไปตั้งไว้ที่บ้านที่มีการป้องกันระดับองค์กร