В IP-телефонах Cisco найдена уязвимость

Компания Cisco официально подтвердила наличие уязвимости в своих IP-телефонах серий SPA 300 и 500 Series, нацеленных на сегмент малого бизнеса. Как отмечается в уведомлении «Cisco Small Business SPA300 and SPA500 Series IP Phones Unauthenticated Remote Dial Vulnerability», уязвимость в «прошивке» устройств даёт возможность удалённому злоумышленнику без прохождения аутентификации подключиться к голосовому потоку и подслушивать разговоры.

IP-телефоны Cisco SPA 500 Series

Брешь в безопасности связана с ненадлежащими настройками, прописанными в конфигурации по умолчанию. Злоумышленник может реализовать атаку, отправив на уязвимый IP-телефон специальным образом сформированный XML-запрос. Уязвимость подтверждена для моделей с прошивкой версии 7.5.5. Но Cisco не исключает наличие «дыры» и в более поздних моделях.

Профиль уязвимости

Несмотря на серьёзные последствия возможной атаки, уязвимости присвоен невысокий рейтинг. Дело в том, что для её реализации злоумышленник должен иметь доступ к доверенным внутренним сетям, находящимся позади брандмауера. Тем не менее, Cisco пока ещё не выпустила соответствующего обновления.