资讯专栏INFORMATION COLUMN

Linphone SIP堆栈错误可允许攻击者远程使客户端设备崩溃

liuchengxu / 2590人阅读

摘要:安全漏洞为网络系统带来极大的威胁及隐患,而的网络安全事件和安全漏洞相关。根据国家信息安全漏洞共享平台统计,软件漏洞比例最高占全部网络漏洞的,因此减少软件漏洞能有效降低网络安全风险,加强网络抵御恶意软件攻击的能力。

周二,网络安全研究人员披露了Linphone 会话启动协议 ( SIP ) 堆栈中零点击安全漏洞的详细信息,该漏洞可被远程利用,受害者无需采取任何行动即可使SIP客户端崩溃并导致拒绝服务(DoS)条件。

跟踪为CVE-2021-33056(CVSS 评分:7.5),该问题涉及“belle-sip”组件中的空指针解引用漏洞,该组件是一个用于实现SIP传输、事务和对话层的C语言库,4.5.20之前的所有版本都受到该漏洞的影响。工业网络安全公司Claroty发现并报告了这一漏洞。

Linphone是一个开源的跨平台SIP客户端,支持语音和视频通话、端到端加密消息传递和音频电话会议等。另一方面,SIP是一种信令协议,用于发起、维护和终止互联网上的语音、视频和消息传递应用程序的实时多媒体通信会话。

为此,可以通过向SIP消息标头如:To(呼叫接收者)、From(呼叫发起者)或Diversion(重定向目标端点)中添加恶意正斜杠 ("

Claroty研究员Sharon Brizinov在一篇文章中说:“这里的潜在错误是,非SIP URI被接受为有效的SIP报头值。”因此,一个通用URI(比如一个简单的正斜杠)将被视为SIP URI。这意味着给定的URI将不包含一个有效的SIP方案(方案将为NULL),因此当[string]比较函数使用不存在的方案(NULL)调用时,将触发一个空指针解引用并使SIP客户端崩溃。”

值得注意的是,该缺陷也是一个零点击漏洞,因为只需发送一个带有特制From/To/Diversion 标头的INVITE SIP请求,就有可能导致SIP客户端崩溃。因此,任何使用belle-sip分析SIP消息的应用程序在收到恶意SIP“呼叫”时都将无法使用。

尽管补丁可用于核心协议栈,但在其产品中依赖受影响的SIP栈的供应商必须将更新应用到下游。

Brizinov表示,针对物联网漏洞的成功利用表明它们可以为企业网络提供有效的立足点,鉴于针对软件项目中开发人员使用的众多其他第三方组件的攻击所显示的规模和范围,基础协议(例如 VoIP电话和应用程序中的SIP堆栈)中的缺陷可能会特别麻烦。

安全漏洞为网络系统带来极大的威胁及隐患,而90%的网络安全事件和安全漏洞相关。根据CNVD(国家信息安全漏洞共享平台)统计,软件漏洞比例最高占全部网络漏洞的80%,因此减少软件漏洞能有效降低网络安全风险,加强网络抵御恶意软件攻击的能力。尤其超过6成的安全漏洞与代码有关,在软件开发过程中使用安全可信的静态代码检测工具能检测出已知漏洞及未知漏洞,及时定位缺陷代码位置,不但为开发人员节省大量查找及修改时间,而且在保证开发效率的同时提高软件安全性,降低企业遭遇网络攻击风险。Wukong(悟空)静态代码检测工具,从源码开始,为您的软件安全保驾护航!

参读链接:

www.woocoom.com/b021.html?i…

thehackernews.com/2021/09/lin…

文章版权归作者所有,未经允许请勿转载,若此文章存在违规行为,您可以联系管理员删除。

转载请注明本文地址:https://www.ucloud.cn/yun/119095.html

相关文章

  • Linphone和MicroSIP软电话中暴露严重安全漏洞 致黑客远程攻击

    摘要:安全漏洞为网络系统带来极大的威胁及隐患,而的网络安全事件和安全漏洞相关。根据国家信息安全漏洞共享平台统计,软件漏洞比例最高占全部网络漏洞的,因此减少软件漏洞能有效降低网络安全风险,加强网络抵御恶意软件攻击的能力。 安全人员SySS设计的攻击称为SIP Digest Leak,它涉及向目标软电话发送SIP INVITE消息以协商会话,然后发送需要 407代理身份验证HTTP响应状态代码,...

    Cciradih 评论0 收藏0
  • JavaScript 是如何工作的:WebRTC 和对等网络的机制!

    摘要:为了使连接起作用,对等方必须获取元数据的本地媒体条件例如,分辨率和编解码器功能,并收集应用程序主机的可能网络地址,用于来回传递这些关键信息的信令机制并未内置到中。所有特定于多媒体的元数据都使用协议传递。 这是专门探索 JavaScript 及其所构建的组件的系列文章的第 18 篇。 想阅读更多优质文章请猛戳GitHub博客,一年百来篇优质文章等着你! 如果你错过了前面的章节,可以在这里...

    XBaron 评论0 收藏0
  • WebRTC 及点对点网络通信机制

    摘要:本质上允许网页程序创建点对点通信,我们将会在随后的章节中进行介绍。信令涉及网络检索和穿透,会话创建及管理,通信安全,媒体功能元数据和调制及错误处理。这样就会完全建立及激活节点间的网络套接字会话。 原文请查阅这里,略有删减,本文采用知识共享署名 4.0 国际许可协议共享,BY Troland。 这是 JavaScript 工作原理第十八章。 概述 何为 WebRTC ?首先,字面上已经...

    Rango 评论0 收藏0

发表评论

0条评论

最新活动
阅读需要支付1元查看
<