CVE-2016-20096: SQL-sårbarhed i Linknat VOS3000/VOS2009

CVE-2016-20096 er en sårbarhed i Linknat VOS3000 og VOS2009, softwarebaserede telefonicentraler (softswitch) der bruges til at route og afregne VoIP-opkald. Sårbarheden er en SQL-indsprøjtning (SQL injection), hvor systemet ikke renser brugerinput, før det bruges i en databaseforespørgsel. Fejlen findes i login-siden, i parameteren “name” i et POST-request. En angriber kan indsætte skadelig SQL-kode i loginformularen og efterfølgende hente resultatet i en efterfølgende session-forespørgsel, uden at have gyldigt brugernavn eller kodeord.

Sårbarheden rammer alle installationer af Linknat VOS3000 og VOS2009 til og med version 2.1.2.0. Det er typisk telefonioperatører, callcentre og virksomheder, der selv driver VoIP-infrastruktur med disse produkter til at afregne og route opkald. Er systemet tilgængeligt fra internettet, kan enhver ondsindet part angribe det uden at kende et login.

Angriberen kan hente hele databasens indhold, herunder brugernavne og kodeord i klartekst, opkaldsdata, kundeoplysninger og faktureringsdata, med rettigheder som databaseadministrator (DBA). Det kan bruges til at overtage administratorkonti, manipulere fakturering, aflytte eller omdirigere opkald, eller videresælge stjålne data. For en dansk virksomhed, der bruger VOS3000 til at drive telefoni for kunder, kan det betyde tab af kundedata og driftsstop.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login (PR:N), ingen brugerhandling fra en offer (UI:N), og kan udføres over netværket med lav kompleksitet. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men beskrivelsen er teknisk detaljeret nok til, at et fungerende angreb kan bygges relativt let.

Sådan lukker I hullet og begrænser risikoen:

1. Kontakt Linknat eller jeres leverandør for en opdateret version uden sårbarheden. Er der ingen officiel rettelse tilgængelig, skal login-endpointet lappes eller placeres bag en applikationsfirewall (WAF), der filtrerer SQL-tegn.
2. Fjern systemet fra direkte internetadgang. Placer VOS3000/VOS2009 bag VPN eller på et internt netværk, som kun betroede administratorer kan nå.
3. Gennemgå logfiler for mistænkelige login-forsøg med SQL-syntaks i navnefeltet.
4. Skift alle kodeord i systemet og på alle steder, hvor samme kodeord er genbrugt.
5. Vurder om systemet er forældet og bør udfases til et produkt med aktiv sikkerhedssupport.
6. Hent hjælp udefra, hvis I ikke selv kan vurdere, om systemet er kompromitteret, eller hvis I ikke har ressourcer til at isolere det inden for kort tid.