hacking

Asterisk y VoIP hacking

Howto: Como ejecutar código arbitrario en Asterisk aprovechando el fallo en 'ast_uri_encode'

Existe un error de desbordamiento de memoria intermedia basado en pila en la función 'ast_uri_encode' de Asterisk. Esta función se encarga de filtrar los datos de un ID de llamada. Debido a un error en la comprobación de la longitud de los datos, un atacante remoto autenticado podría ejecutar código arbitrario a través de un ID especialmente diseñado.

Este es el sumario que David Vossel notificó en la lista de correo 'asterisk-dev':

Honeypot VoIP Artemisa

El proyecto Artemisa es un honeypot VoIP/SIP desarrollado en Python. Está diseñado para conectarse a un dominio VoIP de la empresa como backend de agente de usuario para detectar actividad maliciosa en un estado temprano. Aún más, el honeypot puede jugar un papel importante en el ajuste de las políticas de seguridad del dominio donde se ha desplegado.

¿Cuanto sabes de seguridad en VoIP?

Los que vais siguiendo este blog sabéis que hay dos cosas que me apasionan: la VoIP y los honeypots. Así que como seguidor del Proyecto Honeynet me he permitido el lujo de comunicaros los nuevos retos que nos presentan estos amantes de la seguridad. Estoy hablando del Reto 4 del Honeynet Project Forensic Challenge que va sobre la VoIP.

El reto está enfocado a las comunicaciones VoIP y está diseñador para explorar algunos atributos de los protocolos SIP y RTP (estándares de facto en el mundo de las comunicaciones VoIP). Como ya hablamos en el post sobre ataques VoIP cada día aparecen nuevas técnicas y métodos para realizar el "mal" dentro del mundillo de la VoIP. Por cierto, os recomiendo si no lo habéis hecho ya que os leáis el post sobre ataques VoIP ya que os puede dar alguna "pistilla" si al final os animáis a participar. Guiño

Distribuir contenido