Sicherheitslücke im Lancom VCM ?

[cpuprofi]

Hallo an Alle,

im Thread lancom-systems-router-aeltere-modelle-z ... 17762.html wurde schon mal von einer "möglichen" Sicherheitslücke im "alten" VCM berichtet.

Nun stellte ich heute aber fest, dass ein fast gleicher "Angriff" (Called ID: 0006287717491711) heute bei einem Kunden mit fast aktuellem VCM (FW 10.40.0291RU1) statt fand und anscheinend auch ein Gespräch aufgebaut werden konnte.

Anscheinend erfolgreicher Versuch eines Angriffs:

Code: Alles auswählen

Calling Line:     WIZ_T-4xxxx44
 Calling Name:     
 Calling ID:       6001
 Calling Domain:   91.47.116.97

 Called ID:        0006287717491711
 Called Domain:    91.47.116.97

 Connected Line:   USER.ISDN
 Connected Name:   
 Connected ID:     4xxxx44
 Connected Domain: intern

 Start Time:       2020-10-06 15:39:27 (UTC +2)
 Connect Time:     2020-10-06 15:39:33 (UTC +2)
 End Time:         2020-10-06 15:39:36 (UTC +2)

 Calling Codec:    PCMA
 Connected Codec:  

 Status:           normal_call_clearing
 Fax-Detected:     Yes

Ein weiterer erfolgreicher Versuche, der dann aber anscheinend abgebrochen wurde:

Code: Alles auswählen

Calling Line:     WIZ_T-8xxx5
 Calling Name:     
 Calling ID:       6001
 Calling Domain:   91.47.116.97

 Called ID:        0006287717491711
 Called Domain:    91.47.116.97

 Connected Line:   USER.MLG
 Connected Name:   
 Connected ID:     8xxx5
 Connected Domain: intern

 Start Time:       2020-10-06 15:39:43 (UTC +2)
 Connect Time:
 End Time:         2020-10-06 15:39:45 (UTC +2)

 Calling Codec:    
 Connected Codec:  

 Status:           normal_call_clearing
 Fax-Detected:     No

Weitere nicht erfolgreiche Versuche:

Code: Alles auswählen

Calling Line:     WIZ_T-4xxxx46
 Calling Name:     
 Calling ID:       6001
 Calling Domain:   91.47.116.97

 Called ID:        0006287717491711
 Called Domain:    91.47.116.97

 Connected Line:   
 Connected Name:   
 Connected ID:     
 Connected Domain: 

 Start Time:       2020-10-06 15:39:56 (UTC +2)
 Connect Time:
 End Time:         2020-10-06 15:39:56 (UTC +2)

 Calling Codec:    
 Connected Codec:  

 Status:           no_route_to_destination
 Fax-Detected:     No

Code: Alles auswählen

Calling Line:     WIZ_T-4xxxx47
 Calling Name:     
 Calling ID:       6001
 Calling Domain:   91.47.116.97

 Called ID:        0006287717491711
 Called Domain:    91.47.116.97

 Connected Line:   
 Connected Name:   
 Connected ID:     
 Connected Domain: 

 Start Time:       2020-10-06 15:40:13 (UTC +2)
 Connect Time:
 End Time:         2020-10-06 15:40:13 (UTC +2)

 Calling Codec:    
 Connected Codec:  

 Status:           no_route_to_destination
 Fax-Detected:     No

Code: Alles auswählen

Calling Line:     WIZ_T-4xxxx47
 Calling Name:     
 Calling ID:       6001
 Calling Domain:   91.47.116.97

 Called ID:        +6287717491711
 Called Domain:    91.47.116.97

 Connected Line:   
 Connected Name:   
 Connected ID:     
 Connected Domain: 

 Start Time:       2020-10-06 15:40:18 (UTC +2)
 Connect Time:
 End Time:         2020-10-06 15:40:18 (UTC +2)

 Calling Codec:    
 Connected Codec:  

 Status:           no_route_to_destination
 Fax-Detected:     No

Code: Alles auswählen

Calling Line:     WIZ_T-4xxxx46
 Calling Name:     
 Calling ID:       6001
 Calling Domain:   91.47.116.97

 Called ID:        +6287717491711
 Called Domain:    91.47.116.97

 Connected Line:   
 Connected Name:   
 Connected ID:     
 Connected Domain: 

 Start Time:       2020-10-06 15:40:32 (UTC +2)
 Connect Time:
 End Time:         2020-10-06 15:40:32 (UTC +2)

 Calling Codec:    
 Connected Codec:  

 Status:           no_route_to_destination
 Fax-Detected:     No

Sorge machen mir die ersten beiden Versuch, wo wohl auch ein Gesprächsaufbau zu Stande kam...

Wo ist der Fehler und wie kann man so etwas verhindern?

Gruß
Cpuprofi

[cpuprofi]

Hallo an Alle,

nachdem mich gestern Abend Jirka noch angerufen hat, haben wir die Sache mal analysiert:

Bei der Einstellung SIP-Leitungen "Einzel-Account" wird durch das feste Mapping auf den eingetragenen SIP/ISDN Benutzer ein (eingehender) Anruf aufgebaut. Bei dem Kunden klingelt dann das Telefon, nervig aber kleine Kosten verursachend.

Bei den anderen Account-Arten der SIP-Leitungen "Trunk, Gateway, Link, Flex" kommt es auf die Einstellungen in den "Call-Routen" an und wie weit die Sicherheit über zusätzliche Filtereinstellungen in "Rufende Nummer, Rufende Domäne, Quell-Leitung" erhöht wird.

Bei allen Account-Arten der SIP-Leitungen kann man über "SIP-Nachrichten nur vom Registrar erlauben" die Annahme von SIP-Nachrichten (z.B. Invites) extrem einschränken, nur gibt es da zwei Probleme:

1.) Das Problem von "gefälschten" IP-Adressen (was bei dem Angriff auf den Lancom des Kunden genutzt wurde) dürfte damit nicht gelöst werden können.

2.) Bei manchen SIP-Providern wie z.B. 1&1 oder Dus.net kommen im Normalbetrieb SIP-Nachrichten eben auch von anderen IP-Adressen als der des Registrar's.

Schön wäre es, wenn im Lancom für diese Fälle ein IP-Rage im VCM eintragen werden könnte.

Eine andere Lösung wäre den VCM hinter die Firewall im Lancom zu stellen, denn dann könnte man solche Einstellungen darüber lösen.

Aber dann sollte man nicht nur über "SIP-Proxy-Port" einen SIP-Port im VCM hinterlegen können, sondern auch einen RTP-Bereich für die Sprachübertragung definieren können.

Dieses ist aber wohl aktuell nicht vorgesehen...

Gruß
Cpuprofi

[MoinMoin]

Moin Cpuprofi,

warum nimmt dein Kunde denn nicht abgehend bei der Registrierung einen zufälligen Port? Die Angriffe werden sehr viel schwieriger, wenn nicht Port 5060 verwendet wird. Der ist dann zwar auf dem LANCOM für den VCM offen, der nimmt das INVITE aber nicht an, wenn der Port nicht stimmt.

Ciao, Georg

[Dr.Einstein]

Aber dann sollte man nicht nur über "SIP-Proxy-Port" einen SIP-Port im VCM hinterlegen können, sondern auch einen RTP-Bereich für die Sprachübertragung definieren können.

Code: Alles auswählen

root@:/Setup/Voice-Call-Manager/General
> ls
...
RTP-Port-End               VALUE:   0
RTP-Port-Start             VALUE:   0

Zum eigentlichen Sachverhalt kann ich nichts beitragen :)

Gruß Dr.Einstein