Expone a los usuarios a espionaje y llamadas no autorizadas
Se han revelado múltiples vulnerabilidades de seguridad en los teléfonos de escritorio AudioCodes y Zero Touch Provisioning (ZTP) de Zoom que podrían ser potencialmente explotadas por un atacante malintencionado para realizar ataques remotos.
"Un atacante externo que aproveche las vulnerabilidades descubiertas en los teléfonos de escritorio de AudioCodes Ltd. y la función de aprovisionamiento Zero Touch de Zoom puede obtener el control remoto completo de los dispositivos", dijo el investigador de seguridad de SySS, Moritz Abrell, en un análisis publicado el viernes.
Luego, podría armarse el acceso sin restricciones para espiar las habitaciones o las llamadas telefónicas, pasar por los dispositivos y atacar las redes corporativas, e incluso construir una red de bots de dispositivos infectados. La investigación se presentó en la conferencia de seguridad Black Hat USA a principios de esta semana.
Los problemas tienen su raíz en ZTP de Zoom, que permite a los administradores de TI configurar dispositivos VoIP de manera centralizada, de modo que facilita a las organizaciones monitorear, solucionar problemas y actualizar los dispositivos cuando sea necesario. Esto se logra mediante un servidor web implementado dentro de la red local para proporcionar configuraciones y actualizaciones de firmware a los dispositivos.
Específicamente, se descubrió que carecía de mecanismos de autenticación del lado del cliente durante la recuperación de los archivos de configuración del servicio ZTP, lo que generaba un escenario en el que un atacante podría desencadenar la descarga de firmware malicioso desde un servidor no autorizado.
El estudio descubrió además problemas de autenticación inadecuados en las rutinas criptográficas de los teléfonos de escritorio VoIP de AudioCodes (que admiten Zoom ZTP) que permiten el descifrado de información confidencial, como contraseñas y archivos de configuración transmitidos a través de un servidor de redirección utilizado por el teléfono para obtener la configuración.
Las debilidades gemelas, es decir, el error de propiedad no verificado y las fallas en el hardware certificado, podrían convertirse en una cadena de explotación para entregar firmware malicioso al abusar del ZTP de Zoom y activar dispositivos arbitrarios para que lo instalen.
"Cuando se combinan, estas vulnerabilidades se pueden usar para hacerse cargo de forma remota de dispositivos arbitrarios. Como este ataque es altamente escalable, representa un significativo riesgo de seguridad", dijo Abrell.
La divulgación llega casi un año después de que la compañía alemana de ciberseguridad identificara un problema de seguridad en la funcionalidad de enrutamiento directo de Microsoft Teams que podría hacer que las instalaciones sean susceptibles a ataques de fraude telefónico.
"Un atacante externo no autenticado puede enviar mensajes SIP especialmente diseñados que pretenden provenir de Microsoft y, por lo tanto, el controlador de borde de sesión de la víctima los clasifica correctamente", señaló Abrell en ese momento. "Como resultado, se realizan llamadas externas no autorizadas a través de la línea telefónica de la víctima".
