Tobias Glemser und Reto Lorenz haben im Labor eine leicht auszunutzende und bei allen getesteten Endgeräten ausnutzbare Impelementierungsschwäche gefunden.
Moderne VoIP-Telefone zeigen dem Benutzer an, dass eine neue Nachricht in der Sprachmailbox angekommen ist. In den getesteten Implementierungen wurde die Statusnachricht des Media-Gateway bzw. SIP-Proxy jedoch nicht mit einer kontextspezifischen „Call-ID“ versendet, sondern ohne jegliche Sicherungsmechanismen als gefälschtes Paket.
Damit kann ein Angreifer beliebige Telefone dazu bringen, dem Nutzer zu signalisieren, dass neue Sprachnachrichten auf der Mailbox vorliegen.
Wo liegt nun das konkrete Problem an der Fälschbarkeit dieser Nachrichten? Die meisten Phones (von uns wurden die Hardphones Cisco 7905, 7940, 7960 und Grandstream BT-100 getestet) verarbeiten diese Nachrichten (übrigens auch trotz falscher UDP-Checksum) und zeigen dies dem Benutzer an. Meist blinkt das Display oder ein entsprechendes Symbol erscheint. Der Nutzer ruft nun die Mailbox an, weil er ja meint, dass eine neue Nachricht vorliegt. Da dem nicht so ist, geht er im ersten Moment vermutlich von einem Fehler im System aus und ignoriert ihn. Kurze Zeit später blinkt das Display erneut und das passiert immer wieder. Er wendet sich daher an den Support, welcher sich auf die Fehlersuche begibt, welche sich als langwierig heraustellen könnte, da ja kein eigentlicher Fehler vorliegt.
Sendet man nun an jeden Teilnehmer diese SIP-Nachrichten, so dürften sowohl die Teilnehmer, als auch der Support sehr mit diesem Problem beschäftigt sein. Für den Voicebox-Server kann so auch ein Denial-of-Service-Angriff entstehen.
Security-Advisory vom 06.07.2005
Eintrag in die Vulnerability-Database auf securityfocus.com
Posting in der Bugtraq Mailingliste (wurde auch auf voipsec veröffentlicht)