【資安警訊】如有自管相關SIP主機,需詢問廠商,是否有定期更新hotfix。

如有自管相關SIP主機,需詢問廠商,是否有定期更新hotfix

因為將受害的網路電話系統拿來(撥打國際電話),牟取不法利益。

———————————————————————————–

內文:

廣受企業採用的網路電話(VoIP),駭客也濫用取得不法利益。例如,本月網路防火牆廠商Check Point,揭露一起發生在今年上半鎖定全球網路電話系統的INJ3CTOR3攻擊行動,駭客藉由系統軟體漏洞,取得對話啟動協定(Session initiation Protocol,SIP)伺服器的控制權,進而使用盜打高額國際費率電話來獲利,由於撥打電話是此種系統的合理用途,企業難以發現自己的系統被濫用。

該公司指出,駭客鎖定的目標,是Sangoma推出的舊版FreePBX軟體,所出現的重大漏洞CVE-2019-19006,它能夠讓攻擊者直接使用管理者權限來存取系統,CVSS風險評估3.1版的分數達到9.8分。上述漏洞存在於FreePBX 15.0.16.26、14.0.13.11,以及13.0.197.13等版本,Sangoma已於2019年11月修補。

Check Point指出,這樣的漏洞影響範圍很廣,因為許多財星500大企業都會採用網路電話交換機系統Asterisk,而FreePBX是與之可搭配運用的管理平臺,一旦企業沒有修補上述FreePBX漏洞,就有機會成為駭客下手的目標,而形成供應鏈攻擊。

由於Asterisk開放原始碼的特性,市面上也衍生出Elastix、Trixbox等版本,如果當中納入的FreePBX存在上述漏洞,可能會面臨同樣的資安風險。

以上資料來源: https://www.ithome.com.tw/news/141024