IP-Telefone reißen gravierende Schwachstellen in Netzwerke

IP-Telefone erinnern an klassische Fernsprecher und werden kaum als das wahrgenommen, das sie eigentlich sind: Kleine Computer mit eigenen Betriebssystemen und Anwendungen, die ebenso systematischer Pflege bedürfen wie jeder PC. Entsprechend katastrophal ist ihr Zustand aus der Perspektive der IT-Sicherheit. Besonders viel Aufmerksamkeit haben die Geräte, die in zahlreichen Firmennetzen zu finden sind, bisher offenbar nicht bekommen. Als nun Sicherheitsforscher des Fraunhofer-Instituts für Sichere Informationstechnologie in Darmstadt verbreitete Modelle unter die Lupe nahmen, fanden sie 40 teils gravierende Schwachstellen. In der Folge kontaktierten die Forscher diverse Hersteller, die inzwischen auch für die Bereitstellung von Patches sorgten.

Über die gefundenen Sicherheitslücken können Angreifer Gespräche abhören, das Telefon außer Betrieb setzen oder sich einen weitergehenden Zugriff auf das Firmennetzwerk verschaffen, hieß es. "Wir hatten nicht erwartet, dass wir so viele derart kritische Lücken finden, da diese Geräte schon lange auf dem Markt sind und sie dementsprechend getestet und sicher sein müssten", erklärt Stephan Huber, einer der an der Untersuchung beteiligten Forscher. Offenbar hat sich bisher aber kaum jemand wirklich intensiv mit den Systemen beschäftigt.

Patchen muss sein

In einem Fall gelang es sogar, einen Root-Zugriff auf das System in dem IP-Telefon zu bekommen. Ein realer Angreifer hätte damit quasi einen festen Brückenkopf in einem Firmennetz, von dem er in Ruhe weitere Aktionen planen kann. Denn bei solchen Systemen muss man in der Regel ja nicht damit rechnen, dass in kürzester Zeit der nächste Patch eingespielt wird. Die entsprechende Sicherheitslücke wurde auf sieben verschiedenen Modellen gefunden.

Die Ergebnisse der Untersuchung stellten die Fraunhofer-Forscher auf der Hackerkonferenz Defcon vor, wodurch man einige Aufmerksamkeit generieren kann. Diese ist wichtig, um möglichst viele Admins auf das Problem aufmerksam zu machen und sie zur Installation von Patches zu bringen. Untersucht wurden den Angaben zufolge 33 verschiedene Geräte von 25 Herstellern.