Vulnerabilidades de seguridad críticas en software de VoIPmonitor
Se han descubierto vulnerabilidades de seguridad críticas en el software de VoIPmonitor que, si se explotan con éxito, podrían permitir que los atacantes no autenticados aumenten los privilegios al nivel de administrador y ejecuten comandos arbitrarios.
Un atacante podría aprovechar algunas de estas vulnerabilidades para tomar el control de un sistema afectado.
Por tanto, se recomienda a los usuarios y administradores a revisar las siguientes afectaciones y aplicar las actualizaciones necesarias:
Desarrollo:
Tras la divulgación responsable de los investigadores de Kerbit , una empresa de investigación de vulnerabilidades y pruebas de penetración con sede en Etiopía, el 15 de diciembre de 2021, los problemas se abordaron en la versión 24.97 de WEB GUI enviada el 11 de enero de 2022.
«Fix vulnerabilidades críticas: nuevas inyecciones de SQL para usuarios no autenticados que permiten obtener privilegios de administrador», anotaron los mantenedores de VoIPmonitor en el registro de cambios.
VoIPmonitor es un rastreador de paquetes de red de código abierto con una interfaz comercial para los protocolos SIP RTP y RTCP VoIP que se ejecutan en Linux, lo que permite a los usuarios monitorear y solucionar problemas de calidad de las llamadas SIP VoIP, así como también decodificar, reproducir y archivar llamadas en una base de datos CDR.
AFECTACIONES SEVERIDAD ALTA
- CVE-2022-24259 (puntaje CVSS: 9.8): un error de omisión de autenticación en el componente «cdr.php» de la GUI que permite a un atacante no autenticado elevar los privilegios a través de una solicitud especialmente diseñada.
- CVE-2022-24260 (puntaje CVSS: 9.8): una vulnerabilidad de inyección SQL que ocurre en los componentes «api.php» y «utilities.php» de la GUI que permite a los atacantes escalar privilegios al nivel de administrador y recuperar datos confidenciales.
- CVE-2022-24262 (puntuación CVSS: 7,8): ejecución de un comando remoto a través de la funcionalidad de restauración de la configuración de la GUI debido a la falta de verificación de los formatos de archivo, lo que permite que un mal actor ejecute comandos arbitrarios a través de un archivo manipulado.
«La razón principal por la que el error está aquí es el hecho de que se nos permite cargar cualquier extensión de archivo y que podemos acceder a los archivos cargados para que se ejecuten», dijo el investigador de Kerbit Daniel Eshetu, quien descubrió las fallas.
Solución:
Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.
Fuentes
