image

Lading lekken in populaire bureautelefoon ontdekt

zondag 8 juni 2014, 10:01 door Redactie, 4 reacties

In een populaire bureautelefoon die bij tal van organisaties en bedrijven wordt gebruikt zijn allerlei lekken ontdekt die het mogelijk voor een lokale aanvaller maken om grappen uit te halen, zoals het afspelen van geluiden en tonen van afbeeldingen op de display, maar mogelijk ook voor kwalijkere zaken.

De kwetsbaarheden in de telefoon werden ontdekt door Brandon Edwards en Ben Nell. Edwards wilde wraak nemen voor een grap die een collega met hem had uitgehaald, zo laat hij tegenover Wired weten. Zijn aandacht ging uit naar de telefoon die bij menig kantoorwerker op het bureau staat en op het lokale netwerk is aangesloten. De telefoon bleek over een debugging-poort te beschikken, die de onderzoekers op hun laptop aansloten.

Vervolgens werd het geheugen van het toestel 'gedumpt' en konden ze het onderzoek beginnen, wat een 'berg aan bugs' opleverde, aldus Edwards. Naast tal van programmeerfouten werd er ook een buffer overflow ontdekt die het uitvoeren van willekeurige code en opdrachten op de telefoon mogelijk maakt.

Afluisteren

De onderzoekers hebben aangetoond dat ze willekeurige geluiden en afbeeldingen op het scherm van de telefoon kunnen afspelen. Het onderzoek is echter pas net begonnen en Edwards en Nell denken dat het waarschijnlijk ook mogelijk is om de speakerphone microfoon in te schakelen, zonder dat het lampje gaat branden. Op deze manier zou het mogelijk zijn om gesprekken af te luisteren.

Daarnaast worden de bureautelefoons bij veel organisaties zo aangesloten dat de ethernetkabel eerst naar de telefoon gaat en daarvandaan naar de computer, in plaats van dat de computer en bureautelefoon over een aparte ethernetkabel beschikken. Een aanvaller die spyware op de telefoon kan installeren zou hierdoor het verkeer van en naar de computer kunnen bespioneren.

Aanval

Om de aanvallen uit te kunnen voeren moet een aanvaller wel eerst toegang tot het lokale netwerk hebben. Iets wat volgens de onderzoekers kan door bijvoorbeeld een gerichte e-mail met malware te versturen. Een kwetsbare telefoon zou vervolgens een interessant tweede doelwit kunnen zijn. Om welk model bureautelefoon het gaat en wie de fabrikant is willen de twee onderzoekers nog niet zeggen, Het bedrijf in kwestie zou nog niet zijn ingelicht.Edwards wil de exploit daarnaast verder uitwerken, aangezien hij de telefoon van zijn collega waar de 'wraakoperatie' mee begon nog niet heeft overgenomen.

Reacties (4)
08-06-2014, 13:14 door Anoniem
Zou me niet verbazen als het zo'n Cisco ding is, die zie je zelfs in films reghlmatig terug http://www.globaltalk.com.au/assets/Products/Cisco/Phones/SSimage20080129479f125787c77.jpg ze draaien op java.
08-06-2014, 18:08 door Eric-Jan H te D
Het "Internet of Things". Wie wil er eigenlijk nog aan, met:
- buggie software
- gecorrumpeerde software
- NSA en al zijn lieve vrinden

Inkomsten gasopbrensten te laag? Zetten we de cv's van de huishoudens die
op wintersport zijn toch een weekje op vol.

Inkomsten uit electriciteit te laag? Laten we toch overdag als de mensen naar
hun werk zijn, de wasmachine een paar keer extra draaien.

Teruglopende inkomsten bij AH, Laten we de temperatuur van de koelkast
toch even een paar graadjes verhogen.
09-06-2014, 08:47 door Anoniem
oud nieuws?
http://webwereld.nl/beveiliging/55848-beveiliger-publiceert-cisco-telefoonhacktool
09-06-2014, 09:58 door Anoniem
Jaren geleden al eens uit zeer betrouwbare bron vernomen (en bewijs is aan ELK telefoon toestel te zien;
ER word geen enkel maar dan ook geen enkel telefoon toestel op de markt gebracht die niet afgeluisterd kan worden als de hoorn erop ligt.
Bewijs?
Kijk naar uw toestel , er is altijd een kanaaltje of ruimte zodat de microfoon geluid kan opvangen terwijl deze op de haak ligt.
Zelfs toestellen uit de jaren 70 hadden dit al.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.