Cisco小型商业电话的固件曝高危漏洞，攻击者可通过该漏洞监听私人电话以及进行远程拨打电话，而且这一系列恶意行为都不需要任何身份验证。

 

　　远程监听以及拨打电话

该漏洞(CVE-2015-0670)的存在实际上是由于某些Cisco IP电话的默认配置中含有了一些不恰当的设置。它允许攻击者通过向受影响的设备发送特殊的XML请求来控制该设备。

此外，该漏洞可以被黑客利用来进行远程拨打电话，利用收集到的音频信息对目标进行一系列的其他攻击。

　　受影响的设备

该漏洞影响到Cisco小型商业SPA300以及SPA500 IP电话且运行的固件版本为7.5.5。然而，Cisco发出警告称在7.5.5后的版本也可能会受到该漏洞影响。

有些电话很有可能配置了一些特殊功能，从网上就可直接访问设备。对于黑客来说就能够十分轻松的通过最近十分流行的Shodan搜索引擎找出存在漏洞版本的设备。

“要想利用该漏洞，首先需要获取信任，然后向目标发送特殊的XML请求”Cisco报告中说道。

Cisco方面目前已经确认了由澳大利亚技术分析人员Chris Watts发现并报告的漏洞，Watts还发现了另外两个漏洞——Xss漏洞(CVE-2014-3313)以及一枚本地代码执行漏洞(CVE-2014-3312)。

　　安全建议

目前Cisco公司还未发布任何修复补丁，只是准备在未来的更新固件中修复该问题。但是公司提供了一些建议来降低风险：

1、建议管理员在受影响的设备中启用XML身份验证的配置；

2、建议管理员仅仅运行受信任的用户访问网络；

3、建议管理员使用可靠的防火墙策略，确保系统免受外部攻击的影响；

4、管理员也可以使用基于ip的访问控制列表(ACLs)，只允许可信系统访问受影响的设备；

5、管理员密切关注这些存在漏洞的设备。

(责任编辑：安博涛)