• Tweet

Vulnerabilidades en el software Call Manager de Cisco podrían abrir la puerta a hackers para reconfigurar el servicio de VoIP y ganar acceso a información de cuentas de usuarios, de acuerdo a investigadores de la firma FishNet Security.

En un reporte publicado el lunes, Jake Reynolds, jefe de seguridad en cómputo de FishNet, dijo que la vulnerabilidad afecta a las versiones 3.1 y posteriores de Call Manager, la cual maneja las funciones call routing y call signaling en los sistemas Cisco VoIP.

Una carencia en la validación de datos de entrada y salida en la interfase de administración Web de Call Manager puede permitir a hackers ejecutar ataques, escribió Reynolds.

Los ataques cross site scripting envuelven a usuarios engañándolos con privilegios de acceso al dar clic en una URL en un correo electrónico o página Web.

En el escenario Call Manager, los atacantes pueden enviar una petición a la interfase Call Manager Web que provoca que JavaScript malicioso sea incluido.

Si el administrador puede ser engañado presentando esta petición mal intencionada, el código malicioso puede ser ejecutado en el navegador Web de la víctima y potencialmente dar a intrusos los permisos para robar o reconfigurar los componentes del sistema y ganar acceso a información confidencial del usuario, de acuerdo a el reporte.

En una declaración, Product Security Incident Response Team (PSRIT) de Cisco recomendó a los usuarios que verifiquen los destinos de las ligas antes de dar clic en estas.

Aunque no hay consejos para el problema, Cisco ha solucionado la vulnerabilidad y las soluciones estarán incorporadas en las siguientes versiones CallManager 4.3(1), 4.2(3), 4.1(3)SR4 y 3.3(5)SR3, de acuerdo a la declaración.

Para protegerse de los ataques, FishNet recomienda a las compañías que limiten la conectividad de la red a Call Manager siempre que sea posiblepara evitar que los hackers hagan pública las interfaces Web.