VoIP-Attacke: Cross-Site-Scripting über SIP-Paket

Die Sicherheitsspezialisten von Secure Computing sind auf einen Proof-of-Concept-Code gestoßen, der das VoIP-Protokoll SIP für einen Angriff ausnutzt. Der Demoangriff basiert auf einer XSS-Attacke (Cross-Site Scripting) über VoIP.

Hacker könnten demnach die Kontrolle über den Zielrechner gewinnen und Malware über die IP-Telefonverbindung auf dem PC laufen lassen. Die Schwachstelle wurde vor einigen Tagen vom Sicherheitstechniker Radu State im Linksys-Gerät SPA-941 entdeckt.

Laut dem Experten liegt das Problem in den kleinen Web-Servern der VoIP-Software, die zur Konfiguration und Verwaltung der Software verwendet werden. Zudem würden sie eingesetzt, um verpasste Anrufe anzuzeigen. Der User greift auf diese Daten üblicherweise über das Netzwerk zu. In dem betroffenen Gerät von Linksys ist es jedoch möglich, eine XSS-Injection durchzuführen, da das Feld "from" der SIP-Nachricht nicht richtig gefiltert werde. Über ein speziell adaptiertes SIP-Paket können Hacker so das System angreifen.

State führt jedoch auch an, dass es normalerweise schwer sei, VoIP-Geräte über SIP zu attackieren. Das liege daran, dass die meisten Produkte über eine herstellerspezifische Architektur sowie ein spezielles Betriebssystem verfügen. Jedoch haben viele auch integrierte Webserver und diese wären bei einer fehlerhaften Implementation mit einem Buffer-Overflow-Exploit zu knacken. (ala)