В Voip-телефонах Cisco обнаружена серьезная уязвимость

В Voip-телефонах Cisco обнаружена серьезная уязвимость

Независимый специалист по информационной безопасности Энг Ку говорит, что ему удалось обнаружить серьезную уязвимость в Voip-телефонах компании Cisco Systems. Фактически, уязвимость превращает телефоны в прослушивающие устройства. По его словам, атака базируется на многочисленных уязвимостях, обнаруженных в интерфейсе системных вызовов ядра Cisco Native Unix.

Ку говорит, что данный интерфейс не имеет должной системы проверки вводных параметров, из-за чего память ядра программного обеспечения можно довольно легко модифицировать из обычного пользовательского пространства и выполнить произвольный код в программной оболочке.

В ряде случаев данная манипуляция позволяет злоумышленнику стать root-пользователем и получить контроль над цифровым процессором телефона, его экраном и клавишами вызова. Сам Ку показал на конференции Ampion Forum, проходившей в Университете Колумбии в США, код, позволявший удаленно подключиться по IP-сети к микрофону и динамику телефона, что позволяло в реальном времени слушать переговоры пользователей Voip-телефонов, cybersecurity.ru.

Также он представил собранную им небольшую плату, позволяющую в реальном времени передавать данные, проводимые через штатный Ethernet-порт, к которому подключен Voip-телефон. Через плату возможно подключаться в режиме "по требованию" к телефону и прослушивать разговоры. Преимущество такого подхода заключается в том, что данные снимаются с устройства еще до того, как они шифруются, и получателю фактически неважно, какие именно алгоритмы защиты в телефоне применяют, так как получает он информацию одновременно с ее обработкой со стороны телефона.

При всей серьезности проблемы, специалист говорит, что решается она простым обновлением ряда системных компонентов, а также повышением защиты в ПО от непривилегированных процессов. Также исследователь не исключает, что кто-либо из реальных злоумышленников уже мог воспользоваться проблемой, так как она всплывает при первом же серьезном аудите безопасности программного обеспечения Voip-телефона.

В Cisco говорят, что готовят обновленную версию прошивки ASAP, которая не будет иметь указанных проблем.

Жильцы вправе требовать от консьержей неразглашения данных

Первый заместитель председателя комитета Госдумы по строительству и ЖКХ Владимир Кошелев напомнил, что консьержи могут нести ответственность за разглашение информации о жильцах, вплоть до уголовной. Однако это возможно только в том случае, если требование о конфиденциальности прямо закреплено в их должностной инструкции.

Как пояснил депутат в комментарии ТАСС, жители дома могут включить такой пункт в инструкцию консьержа на общем собрании:

«Что касается беспокойства о приватности информации, которой обладает консьерж, то оно решается правилами, закрепленными в должностной инструкции, утвержденной общим собранием. В ней должен быть чётко прописан отдельный пункт о конфиденциальности — запрет на разглашение любой информации о жильцах и их гостях третьим лицам».

Если это требование будет нарушено, консьержа, как напомнил Владимир Кошелев, могут не только уволить, но и привлечь к уголовной ответственности по статье 137 УК РФ («Нарушение неприкосновенности частной жизни»).

Эта статья предусматривает штраф в размере дохода осуждённого за период до полутора лет, либо принудительные работы на срок до двух лет, либо лишение свободы на тот же срок. Если же противоправные действия были совершены с использованием служебного положения, ответственность становится строже.

Недавно по статье 137 УК РФ было передано в суд уголовное дело в отношении жительницы Алтайского края. По версии следствия, она пыталась собрать компрометирующую информацию на своего руководителя, установив диктофон в его служебном кабинете.

RSS: Новости на портале Anti-Malware.ru