Yealink: Schwere Sicherheitslücke bei VoIP-Telefonen entdeckt

Das IT-Security-Unternehmen «VTrust» hat Sicherheitslücken beim VoIP-Telefonhersteller «Yealink» aufgedeckt. Die Schwachstellen betreffen offenbar den weltweit verwendeten Autoprovisionierungsdienst, der Telefone mit VoIP-Logins, Telefonbüchern und Anruferlisten versorgt. Dies berichtet das zur Heise-Gruppe gehörende c't-Magazin.

Die Schachstellen sind insofern problematisch, weil die Lücken sich übers Internet aus der Ferne ausnutzen lassen. Laut c't sind die Telefone zwar nicht direkt erreichbar, jedoch kann ein Angreifer beispielsweise auf die VoIP-Zugangdaten, Anruferlisten, Telefonbücher oder Tastenbelegungen zugreifen. Ein Angreifer könnte mit diesem Wissen die Rufnummer missbrauchen und horrende Telefonrechnungen hinterlassen. Alternativ eignet sich diese Sicherheitslücke potenziell aber auch für Wirtschaftsspionage.

VTrust hatte gemäss Bericht im November 2019 c't kontaktiert und demonstrierte einen Angriff mithilfe von Yealink-Telefonen und VoIP-Accounts. Demnach blieben mehrere Kontaktaufnahmen zu Yealink, um das chinesische Unternehmen auf die Sicherheitslücken aufmerksam zu machen, während zwei Wochen erfolglos. Erst als c't «mit Nachdruck» über die Facebook-Seite um einen Ansprechpartner bat, kam die Sache ins Rollen.

Yealink versicherte danach, man gehe das Problem «mit höchster Priorität» an. Doch auch über zwei Monate nach der ersten Kontaktaufnahme ist bisher keine Lösung des Sicherheitsproblems erfolgt, so c't. PCtipp hat Yealink kontaktiert, eine Stellungnahme ist noch nicht erfolgt.

Nutzer von automatisch konfigurierten Yealink-Telefonen können nicht viel gegen die Sicherheitslücken unternehmen, da diese vollständig auf Serverseite liegen. Wie c't schreibt, bieten manche VoIP-Anbieter die Option, das Autoprovisionierungsverfahren über ihr Kundenportal abzustellen. Ob die Daten dann tatsächlich nicht mehr verfügbar sind, hänge vom Anbieter ab.

Wer allerdings etwas dagegen unternehmen kann, sind VoIP-Anbieter, denn Yealink schreibt die einzusetzende Serversoftware nicht vor. Bislang liegen c't allerdings keine Hinweise auf hohe Zugriffszahlen vor, die auf einen Angriff schliessen lassen könnten. Weiteres erfahren Sie im Artikel von c't.