Investigadores de seguridad han descubierto una falla en los sistemas de conferencia telefónica de Mitel, los cuales crean un medio para que los espías informáticos escuchen en reuniones privadas.
Boffins, de Context Information Security, logró obtener acceso root y tomar el control total de un teléfono Mitel MiVoice Conference Phone y Video Phone, lo que potencialmente permite escuchar las reuniones sin alertar a los ocupantes de la sala. Estas fallas también crearon una forma de plantar una puerta trasera remota en una red empresarial.
“Los teléfonos de conferencia son omnipresentes en las oficinas modernas y se encuentran a menudo en áreas poco seguras, como salas de reuniones, donde están al tanto de conversaciones sensibles, ya sea recibiendo una llamada o simplemente estando en la mesa”, dijo Neil Biggs, jefe de investigación de Context. “También presentan una superficie de ataque interesante, a menudo en VLAN segregadas que no son visibles para una prueba de penetración de la infraestructura, por lo que puede pasarse por alto. Es posible que las organizaciones con una postura de seguridad madura puedan pasar por alto la seguridad de este tipo de dispositivos, por lo que es importante verificar su funcionamiento o incluirlos en las pruebas”.
El teléfono Mitel funciona con Android 2.3, que tiene vulnerabilidades conocidas y carece de protecciones de seguridad encontradas en versiones posteriores del sistema operativo.
Aprovechando el proceso de configuración automática del dispositivo, los investigadores de seguridad pudieron abusar de la función de depuración Ethernet y comenzar a explotarlo con el puente de depuración de Android (ADB) a través de la red.
Una vez dentro, descubrieron varias debilidades que le permitieron al equipo escalar el ataque, la mayoría de las cuales provenían del firmware en estado de desarrollo / prueba. Estas fallas incluyen el uso de las claves de prueba de Android disponibles públicamente para firmar las aplicaciones del sistema.
Context informó de estos problemas a Mitel a finales del año pasado, incluyendo un ataque remoto que provocó el reinicio del dispositivo. El fabricante respondió con una serie de mitigaciones provisionales (deshabilitar la depuración de Ethernet, configurar una contraseña de administrador fuerte para impedir el acceso al menú de administración, etcétera) y correcciones a largo plazo.
Mitel desestimó la gravedad de las vulnerabilidades:
La integridad de los sistemas y datos de nuestros clientes es prioridad para Mitel. Somos conscientes de las vulnerabilidades en el MiVoice Conference (también conocido como Mitel UC360) que potencialmente pueden derivar en un riesgo de seguridad para los clientes. Hemos trabajado en conjunto con Context Information Security y una firma independiente de seguridad para publicar un conjunto de pasos claros para mitigar completamente las vulnerabilidades en mitel.com. A partir de ahora, no existen brechas de seguridad asociadas a los clientes referentes a esta vulnerabilidad.
Fuente:https://www.seguridad.unam.mx
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
