La sécurité de la téléphonie sur IP (VoIP)

Date : 03 Août 2005

Ce mois-ci deux problèmes ont été soulevés concernant les infrastructures de téléphonie sur IP (VoIP). En effet, un avis de sécurité de Cisco a mis en évidence une série de vulnérabilités sur son logiciel de traitement d'appel "Cisco CallManager" (CCM) et, dans un second temps, un problème dans les implémentations du protocole de "signalisation" SIP a été publié sur Internet.

Nous faisons ici une synthèse de ces contributions récentes.

Enfin, il est aussi à noter qu'un document sur la sécurité des infrastructures de Voix sur IP a été diffusé par l'université de Graz (Autriche) :

http://www.iaik.tu-graz.ac.at/teaching/11_diplomarbeiten/archive/thalhammer.pdf

Multiples vulnérabilités dans le logiciel "Cisco CallManager"

Cisco a émis un avis de sécurité sur cinq vulnérabilités découvertes dans son logiciel de traitement des appels. Ces problèmes permettent à une personne malveillante de perturber à distance l'application "CallManager", voire d'exécuter du code sur le système hébergeant une telle application.

Des correctifs ont été fournis par l'éditeur.

Ces vulnérabilités ont été répertoriées dans la rubrique "Liste des failles n'ayant pas fait l'objet d'avis" car le produit "CallManager" n'est pas suivi actuellement par le Cert-IST.

Pour plus d'information :

Problème des implémentations du protocole de signalisation "SIP"

Le protocole "SIP" ("Session Initiation Protocol") permet de gérer les sessions (de vidéo, de téléphonie, ..) sur un réseau IP. Ce protocole SIP, qui a la caractéristique de ne pas être attaché à un médium particulier et qui est sensé être indépendant du protocole de transport des couches basses, est défini dans les RFC 3261 et 3265.

Le problème, mis en valeur ce mois-ci, se situe au niveau de l'implémentation de la norme concernant la gestion des messages de notification ("Notify"). En effet, il est possible à une personne malveillante, sans aucune authentification, d'envoyer des messages de notification de type "Message-Waiting" (évènement annonçant la présence d'un message sur la boîte vocale de l'utilisateur) vers les téléphones IP. Cette possibilité est contraire à la norme (RFC 3265) qui indique que ce type de message doit être précédé d'une inscription ("subscription") pour assurer son authenticité et permet d'éviter ainsi ce type d'attaque.

Ainsi, pour les équipements ne respectant pas strictement la norme, en répétant cette attaque vers plusieurs téléphones, le serveur gérant les boites vocales peut devenir saturé si tous les utilisateurs se connectent en même temps pour consulter leur boite vocale.

Un programme automatisant l'envoi de ce type de message a été largement diffusé sur Internet.

Les produits qui ont été testés par l'auteur de l'avis et qui ont été répertoriés comme sensibles à ce type d'attaque sont :

  • Cisco 7905/7940/7960
  • Grandstream BT 100

Pour plus d'information :

Précedent Précedent Suivant Suivant Imprimer Imprimer

© 2024 Cert-IST