Eine Schwachstelle im CTL Provider Service des Cisco Unified CallManager (CUCM) kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode auf dem beherbergenden Rechnersystem mit den Privilegien des CallManagers auszuführen oder es in einen unbenutzbaren Zustand zu versetzen.

Betroffene Systeme

• Cisco Unified CallManager 4.0
• Cisco Unified CallManager 4.1, alle Versionen vor 4.1(3)SR5c
• Cisco Unified Communications Manager 4.2, alle Versionen vor 4.2(3)SR3
• Cisco Unified Communications Manager 4.3, alle Versionen vor 4.3(1)SR1

Nicht betroffene Systeme

• Cisco Unified CallManager 3.3
• Cisco Unified CallManager 5.0
• Cisco Unified CallManager 5.1
• Cisco Unified CallManager 6.0
• Cisco Unified CallManager 6.1
• Cisco Unified CallManager Express

Einfallstor
Port 2444/tcp, bzw. der manuell für den CTL Provider Service konfigurierte Port

Angriffsvoraussetzung
Zugriff auf ein Netzwerk über das Pakete an CTL Provider Service gesandt werden können

Angriffsvektorklasse
über eine Netzwerkverbindung
(remote)

Auswirkung

• Ausführung beliebiegen Programmcodes mit den Privilegen des CallManagers
  (user compromise)
  Hierbei ist zu beachten, dass der CallManager üblicherweise zwar nicht mit administrativen, jedoch mit erhöhten Privilegien (unter Microsoft Windows als Mitglied der Gruppe Power Users) läuft, was eine Kompromittierung des beherbergenden Rechnersystems erleichtern sollte.
• Nichtverfügbarkeit des betroffenen Systems
  (denial of service)

Typ der Verwundbarkeit
Pufferüberlaufschwachstelle
(buffer overflow bug)

Gefahrenpotential
hoch bis sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext
Wenn der Cisco Unified Communications Manager (CUCM) im secure mode betrieben wird, verwenden die an der Anlage angeschlossenen Telefone die Certificate Trust List (CTL) um die Authentizität des oder -- bei mehreren -- der CallServer, mit denen sie kommunizieren, zu verifizieren. Die Liste wird auf dem CUCM durch den CTL Provider Service zur Verfügung gestellt, sofern CUCM bei der Installation dafür konfiguriert wurde.

Beschreibung
Eine Pufferüberlaufschwachstelle im CTL Provider Service des Cisco Unified Communications Manager (CUCM) kann von einem Angreifer dazu ausgenutzt werden, beliebigen Programmcode mit den Privilegien des entsprechenden Prozesses auf dem beherbergenden Rechnersystem auszuführen oder das System in einen unbenutzbaren Zustand zu versetzen. Dabei ist es ausreichend, wenn der Angreifer ensprechend präparierten Verkehr an den Port 2444/tcp eines betroffenen Systems senden kann.

Es ist zu beachten, dass CUCM üblicherweise zwar keine administrativen, jedoch erhöhte Privilegien besitzt (unter Microsoft Windows läuft der CUCM mit den Privilegien der Gruppe Power Users), was eine Kompromittierung des beherbergenden Rechnersystems durch die Ausnutzung dieser Schwachstelle vereinfacht.

Workaround

• Abschaltung des CTL Provider Service solange er nicht gebraucht wird. Der CTL Provider Service wird normalerweise nur während der Konfiguration des Authentifizierungssystems sowie des Verschlüsselungssystems des CUCM benötigt.
• Einschränkung des Netzverkehrs auf Port 2444/tcp des CUCM auf das erforderliche Minimum mittels eines Firewallsystems. Normalerweise benötigt nur der CTL-Client Zugriff, der auf Rechnersystemen installiert ist, mit denen administrative Aufgaben auf dem CUCM erledigt werden. Diese Maßnahme ist in jedem Falle sinnvoll.

Gegenmaßnahmen

• CUCM 4.0: Installation einer aktualisierten Version von CUCM 4.1 (oder später), s. nächster Spiegelstrich
• CUCM 4.1:
  • Aktualisierte Version: CUCM 4.1(3)SR5c
  • Empfohlene Version: CUCM 4.1(3)SR6 oder höhere Versionen
• CUCM 4.2: CUCM 4.2(3)SR3 oder höhere Versionen
• CUCM 4.3: CUCM 4.3(1)SR1

Vulnerability ID

• CVE-2008-0027
• Cisco Bug ID CSCsj22605

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/