Sicherheit: Ausgehender Anruf via 700 Konferenz?

[_voiper]

Hallo zusammen,

etwas verblüfft erhielt ich folgende Warnung zugestellt:

---
Ein Anruf von [700] für [+972598258998] wurde von der 3CX-PBX unterbunden, da der Teilnehmer sich in einem für ausgehende Anrufe gesperrten Land mit dem Präfix [00972] befindet.
Grund: +972598258998 enthält das Präfix 00972. Ausgehende Anrufe mit 00972 als Präfix werden durch die 3CX-PBX blockiert.
---

Wie kann das sein? Benutzer 700 ist die Konferenz-Nebenstelle, gebunden an eine externe Rufnummer für Leute, die sich bei Konferenzen einwählen. Die Meldung interpretiere ich so, daß jemand die externe Rufnummer für die Konferenzeinwahl angerufen hat und erfolgreich eine beliebige externe Rufnummer zur Anwahl einspeisen konnte. Handelt es sich hier um eine Sicherheitslücke?

Sofortmaßnahme: Deaktivierung der Option "Ausgehende Anrufe" der Rufnummer für die Konferenzeinwahl. Diese Option hatte ich zuvor nicht weiter beachtet, da diese Rufnummer direkt zur 700 / Konferenz weitergeleitet wird.

Was meint ihr dazu?

Viele Grüße

 

[StefanPf]

Hi,

ist eventuell die Option „Anrufen der Teilnehmer wenn die Konferenz beginnt“ aktiviert?
Das wäre im Moment der einzige „legitime“ Grund der mir einfällt um die ausgehenden Calls von der 700 zu erklären.
Dann müsste aber der Organisator gleichzeitig in den Anrufprotokollen angerufen werden.
Gekaperter Account in der 3cx, eine geplante Audiokonferenz einstellen und die den Call initiiert.

Wenn damit abkassiert werden soll verstehe ich den umständlichen Weg allerdings nicht so ganz. Es sei den man spekuliert darauf länger unentdeckt zu bleiben.

 

[_voiper]

Heute schon wieder:

Ein Anruf von [700] für [+972595231336] wurde von der 3CX-PBX unterbunden, da der Teilnehmer sich in einem für ausgehende Anrufe gesperrten Land mit dem Präfix [00972] befindet.
Grund: +972595231336 enthält das Präfix 00972. Ausgehende Anrufe mit 00972 als Präfix werden durch die 3CX-PBX blockiert.

Greift die Ländersperre noch vor der SIP-Authentifizierung? Das zumindest meint die KI. Ich finde das nicht ideal, die fehlende Authentifizierung sollte das überhaupt nicht so weit kommen lassen.

 

[mbehrens]

Greift die Ländersperre noch vor der SIP-Authentifizierung?

Nein.

 

[bitn2]

Beantworte erstmal die Frage von @StefanPf

 

[_voiper]

Hallo zusammen,

Danke für eure Unterstützung.

Die Option „Anrufen der Teilnehmer wenn die Konferenz beginnt“ ist nicht aktiviert.

Heute wurde zusätzlich folgende PIN geändert (war vierstellig, jetzt zehnstellig):

 

[fxbastler]

@_voiper
Mir fällt auch erst einmal nur so ein Szenario ein wie von @StefanPf beschrieben.
Ich würde allerdings zusätzlich noch die Protokollierungsstufe der 3CX auf ausführlich stellen, die Protokolle 10 Tage da belassen und wenn das wieder passiert die Supportinfo herunterladen und wenigstens mit dem 3CX Log Viewer schauen was davor passiert ist. Vielleicht gar noch im Ereignisprotokoll suchen welche NSt. und Geräte wo wie angemeldet waren usw..

 

[Kunststoffmann]

Moin,
wir wurden am Wochenende leider auch Ziel eines Angriffs auf die 3CX. Ein Anrufer hat mit der der ID 10001 mehrfach unsere Faxnummer angerufen und sich dann Zugriff auf diese Nebenstelle verschafft. Mit der Faxnebenstellennummer hat er dann Teilnehmer in Israel, Serbien und Jordanien angerufen. Zum Glück hat unser Telefonprovider die Auslandsgespräche blockiert, sodass der Schaden relativ klein gehalten werden konnte.
Als Sofortmassnahme habe ich das Passwort der Nebenstelle geändert und diverse Ländercodes gesperrt. Dennoch hat sich der Hacker wieder in die Faxnebenstelle einbuchen können. Die Sperre der Ländercodes hat gegriffen.
Es scheint sich um eine Sicherheitslücke in der 3CX zu handeln.
Gruss
Michael

 

[fxbastler]

@Kunststoffmann
Was für SIP Provider sind in dieser 3CX aktiv in Verwendung ?

 

[Kunststoffmann]

Wir haben Plusnet als SIP Provider.

 

[Jan Noack]

Habt ihr eingehende IP-Adressen auf die des Providers gefiltert? Oder ist eure Firewall in der Hinsicht "offen"?

 

[Kunststoffmann]

Ich habe leider nur fundiertes Halbwissen. Wo sehe ich die IP-Adresse des Providers. (Habe keinen Zugriff auf die Bearbeitung des Trunks, er springt dann auf die Teilnehmer Seite). Du meinst die Firewall unseres Routers?

 

[fxbastler]

Wir haben Plusnet als SIP Provider.

Habt ihr eingehende IP-Adressen auf die des Providers gefiltert? Oder ist eure Firewall in der Hinsicht "offen"?

Exakt das ist es. Plusnet ist kein IP basierender SIP Trunk und braucht eine SIP Registrierung.

So lange kein Direct STUN in der 3CX verwendet wird (das Feature gilt alt veraltet und per default unsicher) und kein IP basierender SIP Trunk verwendet wird kann bei richtiger Konfiguration des SIP Trunk die SIP Port Weiterleitung zur 3CX auch komplett entfernt werden.

Du meinst die Firewall unseres Routers?

ja

 

[Jan Noack]

Exakt das ist es. Plusnet ist kein IP basierender SIP Trunk und braucht eine SIP Registrierung.

Plusnet bietet doch aber auch FIX-IP Authentifizierung an?

 

[mbehrens]

wir wurden am Wochenende leider auch Ziel eines Angriffs auf die 3CX. Ein Anrufer hat mit der der ID 10001 mehrfach unsere Faxnummer angerufen und sich dann Zugriff auf diese Nebenstelle verschafft. Mit der Faxnebenstellennummer hat er dann Teilnehmer in Israel, Serbien und Jordanien angerufen. Zum Glück hat unser Telefonprovider die Auslandsgespräche blockiert, sodass der Schaden relativ klein gehalten werden konnte.
Als Sofortmassnahme habe ich das Passwort der Nebenstelle geändert und diverse Ländercodes gesperrt. Dennoch hat sich der Hacker wieder in die Faxnebenstelle einbuchen können. Die Sperre der Ländercodes hat gegriffen.
Es scheint sich um eine Sicherheitslücke in der 3CX zu handeln.

Aufgrund dieser Angaben deutet vieles wieder mal auf eine Fehlkonfiguration der Firewall hin.

 

[fxbastler]

Plusnet bietet doch aber auch FIX-IP Authentifizierung an?

Plusnet bietet ja vieles an. IP basierende Trunks von denen sind uns nicht bekannt, aber was wissen wir denn schon
Es kann ja sein, Plusnet hat so etwas aktiv im Programm und im Einsatz: IP basierender SIP Trunk ohne Authentifizierung. Auch wenn das seitens 3CX in Beziehung zu Plusnet SIP Trunks nicht unterstützt wird ist das kein Grund es nicht zu verwenden.
Wenn ja, dann - und quasi nur dann - wird man die SIP NAT Weiterleitung an die 3CX benötigen. Keine Frage, sonst wird eingehende Telefonie vmtl. mal nicht funktionieren.

 

[bitn2]

Als Sofortmassnahme habe ich das Passwort der Nebenstelle geändert und diverse Ländercodes gesperrt

Das ist niemals ausreichen! Immer als System Owner alle Nebenstellen zurück setzen, nicht nur das Passwort ändern und neu provisionieren. Auch die eigene System Owner Nebenstelle. Zusätzlich port 5060 auf den Provider begrenzen.

 

[_voiper]

Interessante Diskussion. Dennoch fehlt mir die eigentliche Antwort auf die zwei hier besprochenen Fälle: Warum kann das überhaupt passieren? 3CX selbst beschreibt in Dokumenten zur Routerkonfig die Portweiterleitung des Ports 5060 an die 3CX-Anlage. Die vom @btin2 beschriebene Eingrenzung der zugriffsberechtigen IP-Adressen ist sicherlich sinnvoll, darf aber getrost als Zusatzmaßnahme bewertet werden. Auch ohne diese Maßnahme muß jede IP-basierte TK-Anlage unberechtigte Zugriffe sicher abwehren können. "Irgendwo" müssen in 3CX Schwachstellen manifest sein, die entweder 3CX selber betreffen oder umgebende Komponenten. In meinem Fall (s.o.) wurde hier auch nicht geklärt, wie sich jemand (ohne daß eine geplante Konferenz überhaupt besteht) auf der Konferenznebenstelle 700 aufschalten und von dort aus beliebige Rufnummern anrufen kann. Und bei uns handelt es sich um eine gemäß den 3CX Richtlinien fachgerecht konfigurierte Anlage mit Telekom-Trunk.

@Kunststoffmann: Welche Ports des Routers wurden bei euch auf die 3CX-Anlage weitergeleitet?

Insgesamt würde ich mir bei solchen Fragen etwas mehr Interesse seitens 3CX wünschen, sofern hier im Forum Anfragen nicht von offensichtlichen Laien gestellt werden. Mit dem Thema "Sicherheit" steht und fällt die Akzeptanz von Produkten der Kategorie "IP TK-Anlagen".

 

[bitn2]

@_voiper in deinem Fall auf jeden Fall ein Ticket aufmachen und das direkt mit dem Support klären.