Pesquisadores de segurança descobriram uma vulnerabilidade de execução remota em modelos populares de telefones de mesa VoIP fabricados pela Avaya. A falha permite que os hackers obtenham controle total dos dispositivos, ouçam as chamadas e até transformem o telefone em um dispositivo de espionagem. A falha foi descoberta por pesquisadores da empresa de segurança McAfee e foi divulgada na última quinta-feira (8) durante conferência de segurança DEF CON, em Las Vegas, nos Estados Unidos.
A vulnerabilidade está localizada no serviço DHCP, que permite que os dispositivos obtenham automaticamente endereços IP na rede. Os criminosos podem explorá-lo enviando respostas DHCP modificadas para os dispositivos, que não exigem autenticação. Dessa forma, os invasores têm controle total do sistema operacional do telefone e podem atuar de diversas formas, incluindo falsificação de chamadas, alteração das mensagens exibidas pelos usuários, exfiltração de chamadas de áudio ou ativação do microfone interno para espionar as conversas.
Modelos de dispositivos vulneráveis
A equipe da McAfee encontrou e confirmou a vulnerabilidade nos deskphones IP da série 9600 da Avaya. No entanto, segundo o conselho da Avaya, os telefones IP da série J100 e os telefones de conferência da série B100 também são afetados.
Ao que tudo indica, somente telefones que executam a versão de firmware 6.8.1 e anteriores e que são configurados com sinalização H.323, não SIP, estão vulneráveis. A empresa aconselha os usuários a atualizarem para a versão de firmware 6.8.2 ou posterior. Felizmente, esses dispositivos podem ser gerenciados a partir de um servidor central, portanto, a implantação de atualizações pode ser feita automaticamente.
Atualização
Por meio de sua assessoria de imprensa ano Brasil, a Avaya garantiu que a vulnerabilidade reportada foi identificada e resolvida pela empresa. “A Avaya tem uma política clara e bem definida que requer que nossos produtos utilizem a versão de software mais recente para garantir que os problemas de segurança sejam resolvidos em tempo hábil”, escreveu a empresa em comunicado. “No que diz respeito ao problema de segurança identificado no DHCP do ISC, a Avaya emitiu um aviso de segurança em 18 de julho de 2019 que aborda e resolve o risco identificado. A Avaya agradece a Philippe Laulheret por sua divulgação responsável e pela cooperação com a Avaya durante o gerenciamento desse assunto. Os clientes sempre devem assegurar que o acesso físico aos dispositivos de comunicação se limite ao pessoal aprovado, evitando a manipulação física desses dispositivos por parte de entidades não autorizadas”, complementou.
