Switchvox

In der Telefonanlagen-Software Switchvox von Sangoma steckt eine SQL-Injection-Schwachstelle. Ursache ist ein Endpunkt, der XML-Inhalte für Polycom-IP-Telefone verarbeitet: Ein darin enthaltener, vom Absender frei wählbarer Wert – die IP-Adresse des Telefons – wird ungeprüft und ohne Parametrisierung direkt in eine Datenbankabfrage an die dahinterliegende PostgreSQL-Datenbank eingefügt. Dadurch kann ein Angreifer aus der Ferne und ohne jede Anmeldung mit einer einzigen präparierten Anfrage eigene SQL-Befehle einschleusen und ausführen lassen. Möglich sind damit beliebige Datenbankoperationen – etwa das Auslesen, Verändern oder Löschen gespeicherter Daten – und darüber hinaus sogar die Ausführung von Code auf dem betroffenen System. Da für den Angriff weder Zugangsdaten noch eine Benutzerinteraktion nötig sind und die Kommunikationsanlage häufig aus dem Netz erreichbar ist, ist der Angriffsweg besonders leicht zugänglich.