Abo
  • IT-Karriere:

RTP Bleed: Mit Asterisk-Bug Telefonate belauschen

Ein Bug in der IP-Telefonielösung Asterisk ermöglicht Angreifern, Telefonate mitzuhören. Das Problem liegt in der zugrundeliegenden RTP-Implementierung. Ein erster Patch ist da, aber noch fehlerhaft.

Artikel veröffentlicht am ,
Ein Bug in Asterik kann zum Belauschen genutzt werden.
Ein Bug in Asterik kann zum Belauschen genutzt werden. (Bild: rtpbleed.com)

Eine Sicherheitslücke im IP-Telefonsystem Asterisk ermöglicht Angreifern, Telefonate zu belauschen. Das Problem tritt auf, wenn Asterisk in einer Nat-Umgebung genutzt wird. Es gibt einen ersten Patch, der selbst aber noch fehlerhaft ist. Angreifer müssen sich nicht in einer Man-In-The-Middle-Position befinden, um die Sicherheitslücke auszunutzen. Neben Asterisk selbst soll auch RTPProxy betroffen sein.

Stellenmarkt
  1. Heinrich-Heine-Universität, Düsseldorf
  2. RSG Group GmbH, Berlin

Der Fehler liegt im Realtime-Transport-Stack (RTP). Wird dieser in einer Nat-Umgebung verwendet, können Angreifer die IP-Adresse der Quelle erfahren und die gesendeten Pakete an einen eigenen Server spiegeln. So könnten einzelne Sessions mitgeschnitten werden.

Angreifer können mithören

Die Entdecker Klaus Peter Junghanns und Sandro Gauci schreiben: "Die Schwachstelle kann ausgenutzt werden, wenn eine aktive Verbindung besteht und RTP über einen Proxy läuft. Um die Sicherheitslücke auszunutzen, muss der Angreifer ein RTP-Paket an den Asterisk-Server an einen der für den Empfang RTP vorgesehenen Ports senden". Wenn das Ziel verwundbar sei, würde der Asterisk-Server Pakete der aktuellen Verbindung an den Angreifer senden. Der Inhalt dieser Pakete kann dann als Audiodatei wiederhergestellt werden.

Betroffen sind die Asterisk-Versionen mit den Versionsnummern 11.x, 13.x, 14.x und die zertifizierten Versionen 11.6 und 11.3 Ein Patch existiert für alle Versionen. Das Problem wird damit noch nicht vollständig behoben, das Zeitfenster für einen erfolgreichen Angriff soll aber auf wenige Millisekunden begrenzt werden. Nach Angaben von The Register ist der Patch für eine Race-Condition anfällig und muss demnach noch einmal nachgebessert werden. Die Entdecker der Sicherheitslücke empfehlen Asterisk, wenn möglich, nicht mit der Option nat=yes zu nutzen.



Anzeige
Spiele-Angebote
  1. 51,95€
  2. (-79%) 12,50€
  3. 3,99€
  4. 2,80€

kapejod 06. Sep 2017

Der Artikel ist ziemlich weit weg vom Advisory. Hier ist der Link zum Advisory: https...


Folgen Sie uns
       


iOS 13 ausprobiert

Apple hat iOS 13 offiziell vorgestellt. Die neue Version des mobilen Betriebssystems bringt unter anderem den Dark Mode sowie zahlreiche Verbesserungen einzelner Apps.

iOS 13 ausprobiert Video aufrufen
Geothermie: Wer auf dem Vulkan wohnt, muss nicht so tief bohren
Geothermie
Wer auf dem Vulkan wohnt, muss nicht so tief bohren

Die hohen Erwartungen haben Geothermie-Kraftwerke bisher nicht erfüllt. Weltweit setzen trotzdem immer mehr Länder auf die Wärme aus der Tiefe - nicht alle haben es dabei leicht.
Ein Bericht von Jan Oliver Löfken

  1. Nachhaltigkeit Jute im Plastik
  2. Nachhaltigkeit Bauen fürs Klima
  3. Autos Elektro, Brennstoffzelle oder Diesel?

Hue Sync: Hue-Effektbeleuchtung dank HDMI-Splitter einfacher nutzbar
Hue Sync
Hue-Effektbeleuchtung dank HDMI-Splitter einfacher nutzbar

Mit Hue Sync können Philips-Hue-Nutzer ihre Lampen passend zu Filmen oder Musik aufleuchten lassen - bisher aber nur recht umständlich über einen PC. Die neue Play HDMI Sync Box ist ein Splitter mit eingebautem Hue-Sync-Controller, an den einfach Konsolen oder Blu-ray-Player angeschlossen werden können.
Ein Hands on von Tobias Költzsch

  1. Signify Kleiner Schalter und Steckdose für Philips Hue
  2. Smart Home Philips-Hue-Leuchtmittel mit Bluetooth
  3. Smart Home Philips Hue mit Außenbewegungsmelder und neuen Außenlampen

Verkehrssicherheit: Die Lehren aus dem tödlichen SUV-Unfall
Verkehrssicherheit
Die Lehren aus dem tödlichen SUV-Unfall

Soll man tonnenschwere SUV aus den Innenstädten verbannen? Oder sollten technische Systeme schärfer in die Fahrzeugsteuerung eingreifen? Nach einem Unfall mit vier Toten in Berlin mangelt es nicht an radikalen Vorschlägen.
Eine Analyse von Friedhelm Greis

  1. Torc Robotics Daimler-Tochter testet selbstfahrende Lkw
  2. Edag Citybot Wandelbares Auto mit Rucksackmodulen gegen Verkehrsprobleme
  3. Tusimple UPS testet automatisiert fahrende Lkw

    •  /