CiscoのIP電話に脆弱性、通話を盗聴される恐れ

[鈴木聖子，ITmedia]

　米Ciscoのスモールビジネス向けIP電話に、通話を盗聴される恐れのある脆弱性が発覚した。Ciscoは3月19日付でセキュリティ情報を公開し、対策を呼び掛けている、

　それによると、脆弱性はCisco Small Business SPA 300および500シリーズIP電話のファームウェアに存在する。悪用された場合、認証を受けていないリモートの攻撃者が音声ストリームを盗聴したり、電話をかけたりできてしまう恐れがある。

　脆弱性は、デフォルトの認証設定が不適切だったことに起因する。ただし悪用するためにはファイアウォールごしに社内ネットワークにアクセスして、細工を施したXMLリクエストを標的とするデバイスに送り付ける必要があることから、悪用の可能性はある程度低減されるとしている。

Ciscoによる脆弱性の評価結果

　CiscoはSPA 300および500のバージョン7.5.5でこの脆弱性を確認し、それ以降のバージョンも影響を受ける可能性があると報告。修正のためのソフトウェアアップデートは公開せず、影響を受けるデバイスの設定でXML Execution認証を有効にするなどの対策を紹介している。