Plusieurs vulnérabilités de sécurité ont été révélées dans les téléphones de bureau AudioCodes et le Zero Touch Provisioning (ZTP) de Zoom qui pourraient être potentiellement exploitées par un attaquant malveillant pour mener des attaques à distance.
« Un attaquant externe qui exploite les vulnérabilités découvertes dans les téléphones de bureau d’AudioCodes Ltd. et la fonction Zero Touch Provisioning de Zoom peut obtenir un contrôle à distance complet des appareils », a déclaré Moritz Abrell, chercheur en sécurité chez SySS, dans une analyse publiée vendredi.
L’accès sans entrave pourrait alors être utilisé comme arme pour espionner les chambres ou les appels téléphoniques, pivoter entre les appareils et attaquer les réseaux d’entreprise, et même créer un botnet d’appareils infectés. La recherche a été présentée lors de la conférence sur la sécurité Black Hat USA plus tôt cette semaine.
Les problèmes sont enracinés dans le ZTP de Zoom, qui permet aux administrateurs informatiques de configurer les appareils VoIP de manière centralisée, de sorte qu’il est facile pour les organisations de surveiller, de dépanner et de mettre à jour les appareils selon les besoins. Ceci est réalisé au moyen d’un serveur Web déployé au sein du réseau local pour fournir des configurations et des mises à jour du micrologiciel aux appareils.
Plus précisément, il s’est avéré qu’il manquait de mécanismes d’authentification côté client lors de la récupération des fichiers de configuration à partir du service ZTP, conduisant ainsi à un scénario dans lequel un attaquant pourrait potentiellement déclencher le téléchargement d’un micrologiciel malveillant à partir d’un serveur non autorisé.
L’étude a en outre révélé des problèmes d’authentification inappropriés dans les routines cryptographiques des téléphones de bureau VoIP AudioCodes (qui prennent en charge Zoom ZTP) qui permettent le déchiffrement d’informations sensibles, telles que les mots de passe et les fichiers de configuration transmis via un serveur de redirection utilisé par le téléphone pour récupérer la configuration. .
Les deux faiblesses, c’est-à-dire le bogue de propriété non vérifié et les défauts du matériel certifié, pourraient alors être transformées en une chaîne d’exploitation pour fournir un micrologiciel malveillant en abusant du ZTP de Zoom et en déclenchant des dispositifs arbitraires pour l’installer.
« Lorsqu’elles sont combinées, ces vulnérabilités peuvent être utilisées pour prendre le contrôle à distance d’appareils arbitraires. Comme cette attaque est hautement évolutive, elle pose un risque de sécurité important », a déclaré Abrell.
La divulgation arrive près d’un an après que la société allemande de cybersécurité a identifié un problème de sécurité dans la fonctionnalité de routage direct de Microsoft Teams qui pourrait rendre les installations vulnérables aux attaques de fraude à l’interurbain.
« Un attaquant externe non authentifié est capable d’envoyer des messages SIP spécialement conçus qui prétendent provenir de Microsoft et sont donc correctement classés par le Session Border Controller de la victime », a noté Abrell à l’époque. « En conséquence, des appels externes non autorisés sont passés via la ligne téléphonique de la victime. »
