Abo
  • IT-Karriere:

RTP Bleed: Mit Asterisk-Bug Telefonate belauschen

Ein Bug in der IP-Telefonielösung Asterisk ermöglicht Angreifern, Telefonate mitzuhören. Das Problem liegt in der zugrundeliegenden RTP-Implementierung. Ein erster Patch ist da, aber noch fehlerhaft.

Artikel veröffentlicht am ,
Ein Bug in Asterik kann zum Belauschen genutzt werden.
Ein Bug in Asterik kann zum Belauschen genutzt werden. (Bild: rtpbleed.com)

Eine Sicherheitslücke im IP-Telefonsystem Asterisk ermöglicht Angreifern, Telefonate zu belauschen. Das Problem tritt auf, wenn Asterisk in einer Nat-Umgebung genutzt wird. Es gibt einen ersten Patch, der selbst aber noch fehlerhaft ist. Angreifer müssen sich nicht in einer Man-In-The-Middle-Position befinden, um die Sicherheitslücke auszunutzen. Neben Asterisk selbst soll auch RTPProxy betroffen sein.

Stellenmarkt
  1. Viega Holding GmbH & Co. KG, Attendorn
  2. Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz

Der Fehler liegt im Realtime-Transport-Stack (RTP). Wird dieser in einer Nat-Umgebung verwendet, können Angreifer die IP-Adresse der Quelle erfahren und die gesendeten Pakete an einen eigenen Server spiegeln. So könnten einzelne Sessions mitgeschnitten werden.

Angreifer können mithören

Die Entdecker Klaus Peter Junghanns und Sandro Gauci schreiben: "Die Schwachstelle kann ausgenutzt werden, wenn eine aktive Verbindung besteht und RTP über einen Proxy läuft. Um die Sicherheitslücke auszunutzen, muss der Angreifer ein RTP-Paket an den Asterisk-Server an einen der für den Empfang RTP vorgesehenen Ports senden". Wenn das Ziel verwundbar sei, würde der Asterisk-Server Pakete der aktuellen Verbindung an den Angreifer senden. Der Inhalt dieser Pakete kann dann als Audiodatei wiederhergestellt werden.

Betroffen sind die Asterisk-Versionen mit den Versionsnummern 11.x, 13.x, 14.x und die zertifizierten Versionen 11.6 und 11.3 Ein Patch existiert für alle Versionen. Das Problem wird damit noch nicht vollständig behoben, das Zeitfenster für einen erfolgreichen Angriff soll aber auf wenige Millisekunden begrenzt werden. Nach Angaben von The Register ist der Patch für eine Race-Condition anfällig und muss demnach noch einmal nachgebessert werden. Die Entdecker der Sicherheitslücke empfehlen Asterisk, wenn möglich, nicht mit der Option nat=yes zu nutzen.



Anzeige
Hardware-Angebote
  1. ab 234,90€
  2. 199€ + Versand

kapejod 06. Sep 2017

Der Artikel ist ziemlich weit weg vom Advisory. Hier ist der Link zum Advisory: https...


Folgen Sie uns
       


Parrot Anafi Thermal angesehen

Die Anafi Thermal kann dank Wärmebildsensor Temperaturdaten von -10 bis 400° Celsius messen.

Parrot Anafi Thermal angesehen Video aufrufen
Technologie: Warum Roboter in Japan so beliebt sind
Technologie
Warum Roboter in Japan so beliebt sind

Japaner produzieren nicht nur mehr Roboter als jede andere Nation, sie gehen auch selbstverständlicher mit ihnen um. Das liegt an der besonderen Geschichte und Religion des Inselstaats - und an Astro Boy.
Von Miroslav Stimac

  1. Kreativität Roboterdame Ai-Da soll zeichnen und malen
  2. Automatisierung Roboterhotel entlässt Roboter
  3. Cimon Die ISS bekommt einen sensiblen Kommunikationsroboter

Online-Banking: In 150 Tagen verlieren die TAN-Zettel ihre Gültigkeit
Online-Banking
In 150 Tagen verlieren die TAN-Zettel ihre Gültigkeit

Zum 14. September 2019 wird ein wichtiger Teil der Zahlungsdiensterichtlinie 2 für die meisten Girokonto-Kunden mit Online-Zugang umgesetzt. Die meist als indizierte TAN-Liste ausgegebenen Transaktionsnummern können dann nicht mehr genutzt werden.
Von Andreas Sebayang

  1. Banking-App Comdirect empfiehlt, Sicherheitswarnung zu ignorieren

Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
Raspi-Tastatur und -Maus im Test
Die Basteltastatur für Bastelrechner

Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
Ein Test von Tobias Költzsch

  1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
  2. Kodi mit Raspberry Pi Pimp your Stereoanlage
  3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

    •  /