安全研究人員在Avaya制造的企業VoIP桌面電話的流行模型中發現了一個關鍵的遠程代碼執行漏洞。該漏洞使黑客能夠完全控制設備，收聽電話，甚至將手機變成設備。

這個問題是由安全公司McAfee的研究人員發現的，并于周四在拉斯維加斯的DEF CON安全會議上公布。但是，固件更新自6月25日起可用。

該漏洞位于DHCP服務中，允許設備自動獲取網絡上的IP地址。攻擊者可以通過向設備發送惡意修改的DHCP響應來利用它，這些設備不需要身份驗證，并且可以通過網絡的合法DHCP服務器贏得競爭條件。

該缺陷是緩沖區溢出，可導致使用root權限執行代碼。這意味著攻擊者可以完全控制手機的操作系統，可以執行任何操作，包括欺騙呼叫，更改用戶在顯示屏上看到的消息，打開音頻呼叫或打開內置麥克風以窺探附近的對話。

“有很多不同的攻擊媒介，但我們認為最有趣的是基于麥克風的窺探攻擊，這就是我們用來構建演示的內容，”邁克菲高級威脅研究主管Steve Povolny告訴CSO 。

易受攻擊的設備型號

McAfee團隊發現并確認了Avaya 9600系列IP Deskphone上的漏洞。但是，根據Avaya的建議，J100系列IP電話和B100系列會議電話也受到影響。

只有運行固件版本6.8.1及更早版本且配置了H.323信令而非SIP的電話才會受到影響。該公司建議用戶升級到固件版本6.8.2或更高版本。幸運的是，可以從服務器管理這些設備，因此可以自動部署更新。

舊的無法維護的代碼有問題

事實證明，該漏洞實際上已在十年前在dhclient中得到修補，dhclient是Avaya在其固件中使用的開源組件。問題是，在十年前分發開源代碼之后，該公司沒有更新它或從上游反向安裝補丁。因此，Avaya手機使用的是2007年的dhclient版本。

這是許多嵌入式設備和專有軟件項目的常見問題，這些項目通常嚴重依賴于開源代碼和庫。過去的研究表明，許多公司和設備制造商都沒有跟蹤哪些版本的開源庫被使用，這意味著他們也沒有跟蹤后來在這些項目中發現和修復的安全問題。

在本周Black Hat關于企業SSL VPN漏洞的另一場演講中，研究人員發現，頂級供應商的VPN設備使用的是過時的數據解析庫，甚至是2002年的Apache Web服務器版本。好消息是現在增加了努力創建有助于公司維護軟件物料清單的標準，這有助于解決其中的一些問題。