Sicherheitsproblem Yealink RPS ?

[M.Klaussner]

Folgendes Phänomen ist heute bei einem Test aufgetreten.
An unserer eigenen 3CX selfhosted im RZ sind im lokalen Netzwerk mehrere Yealink Telefone an der 3CX eingerichtet und korrekt provisioniert.
Für ein Projekt haben wir eine Auerswald Comtrexx Next im gleichen LAN konfiguriert.
Die Auerswald Comtrexx hat ohne zutun ein T54W (zu der Zeit in der 3CX aktiv) erkannt und die Provisionierung der 3CX im Telefon gelöscht !

Fazit:
Offensichtlich ist es möglich, dass im Yealink T54W die Provisionierung von extern ohne weitere Hindernisse überschrieben / gelöscht werden kann.
Das in der 3CX automatisch vergebene Passwort für den Zugriff auf das Telefon hat natürlich auch niemand irgendwo eingetragen. Also schützt offensichtlich auch das Passwort nicht.
Wir haben den Vorgang eben an den Auerswald Support weitergegeben, aber das wäre natürlich auch ein Thema für 3CX und Yealink.
Schließt jemand die Comtrexx Next in irgend einem Kundennetzwerk mit Yealink Telefonen an, dann sind diese für die 3CX sofort tot.

Mit Reset und Neueinrichtung in der 3CX funktioniert das Telefon wieder, aber der Vorgang wirft erhebliche Fragen auf...

 

[bitn2]

Ich antworte dir mal hier... Ich kenne jetzt die Auerswald nicht, aber ich könnte mir nur vorstellen das wenn man die Telefone in einer anderen Anlage hinterlegt, der RPS Eintrag bei Yealink überschrieben wird. Aber automatisch ohne jegliches zutun eurerseits, kann ich mir das nicht vorstellen. Evtl wäre es auch noch mal interessant was Yealink dazu sagt was für Infos in deren RPS auftauchen.

 

[M.Klaussner]

Das ist ja genau der Punkt. Kollege ruft mir zu. "Die sieht sogar automatisch einige Telefone im Netz". Ich schaue zwei Minuten später auf das T54w, Offline und platt ! Keine MAC eingegeben, kein Passwort, keine Nebenstelle angelegt... Fazit. Ein Zugriff auf das T54W ist ohne zutun möglich, was niemals sein darf. Offensichtlich kann Yealink eine fertige Provisionierung direkt überschreiben, was gar nicht geht. Passwort,... bietet offenbar keinen Schutz davor. Yealink T46, Snom Geräte,.. waren davon nicht betroffen. Ich denke auch der Ball liegt bei Yealink. China kann demnach (ob absichtlich, oder versehentlich) binnen Sekunden die Telefonhardware platt machen.

 

[mbehrens]

An unserer eigenen 3CX selfhosted im RZ sind im lokalen Netzwerk mehrere Yealink Telefone an der 3CX eingerichtet und korrekt provisioniert.
Für ein Projekt haben wir eine Auerswald Comtrexx Next im gleichen LAN konfiguriert.
Die Auerswald Comtrexx hat ohne zutun ein T54W (zu der Zeit in der 3CX aktiv) erkannt und die Provisionierung der 3CX im Telefon gelöscht !

Und welche Provisioning Methoden stellt die Auerswald zur Verfügung?

 

[M.Klaussner]

Kann ich Dir (noch) nicht sagen. Es gibt nur Autoprovisioning Ja/Nein. Damit lassen sich dann die eigenen Auerswald IP Telefone ohne Arbeiten am Endgerät vollständig provisionieren. Wass innerhalb des Hersteller in innerhalb des lokalen Netzwerkes für mich auch ok ist. Unterstützt werden an den Comtrexx Systemen mittlerweile mit Funktionseinschränkungen auch einige Yealink und Snom Geräte. Die wurden im Lan gefunden und in de Comtrexx angezeigt. Das T54W war daufhin sofort tot. Kein Zugriff mehr... Das 3CX Provisioning war gelöscht. Da Auerswald das Gerätepasswort nicht kennen konnte, kann ich mir nur vorstellen, dass der Yealink RPS trotz 3CX Provisioning und Passwort weiterhin Vollzugriff auf das Endgerät hat.

 

[bitn2]

Hat er, das ist auch korrekt so. Warum die Auerswald da ungefragt die Telefone einbinden sollte der Support mal erklären.

 

[M.Klaussner]

Auerswald ist informiert und hat ein Ticket eröffnet. Wenn aber jeder Hersteller oder XXX auf dem Yealink RPS ein neues Provisioning auslösen kann ist das bedenklich. Ich wüsste auch nicht, wozu der Yealink RPS im Hintergrund weiterhin Zugriff benötigt. Jedes Provisioning sollte nach der Einrichtung ausschließlich von der 3CX kommen inkl. Firmwareupdates...
Ich werde das Telefon mal per Firewall vom Rest fernhalten und prüfen was passiert. Sorry, aber für mich ist das ein eklatantes Sicherheitsproblem, wenn Alle die irgendwie auf den Yealink RPS Zugriff haben, dadurch weltweit indirekten Zugang zu meinen Endgeräten haben.

 

[bitn2]

Dafür müssen sie die Mac kennen und da Telefon müsste resettet werden. Also ganz so einfach ist das nicht. Bin gespannt was Auerswald da sagt.

 

[M.Klaussner]

Das dachten wir auch. Telefon wurde in der Auerswald mit MAC erkannt. Soweit auch OK und kein Geheimnis. Es wurde aber weder ein Reset ausgeführt, noch etwas angeklickt um das Telefon einzubinden, noch wurde ein Passwort eingetragen... rein gar nichts.
Das Telefon stand gegenüber von meinem Arbeitsplatz und wurde nicht mal angefasst. Ca. 2 Minuten, nachdem mein Mitarbeiter gesagt hatte, er findet automatisch die lokalen Telefone, werfe ich einen Blick auf besagtes T54W und das war nun nicht mehr in der 3CX angemeldet. Neustart... ohne Erfolg. Provisionierung weg. Werkseinstellungen ohne Erfolg. Erst nach kompletter Neueinrichtung in der 3CX ist es wieder da.
Eben kurz umgebaut und die Firewall mal grob ausgewertet. Ich kann nicht erkennen, dass vom T54W Verbindungen ausgehen, die außerhalb der provisionierten 3CX liegen. Stellt sich somit die Frage, ob der yealink RPS die Reprovisionierung an 3CX gesendet hat, und diese dann das Gerät fälschlicherweise platt gemacht hat. Darf natürlich ebenfalls nicht passieren.
Wir testen das mal am Montag genauer und prüfen auch, was die Auerswald da treibt. Es muss da ja im Hintergrund irgendein Dreiecksverkehr laufen von Auerswald zu ?? (Yealink, 3CX) und dann in das T54W.

 

[StefanPf]

Ich vermute mal, dass da kein RPS im Spiel ist und das ausschließlich über PnP passiert.
Multicast von Telefon, SIP Antwort mit dem Provlink von der Auerswald -> bums .
Ob jetzt ein über einen anderen Weg provisioniertes Telefon die SIP Antworten nicht auswerten sollte entzieht sich meiner Kenntnis.
Sollte die Vermutung richtig sein, würde ich das als halb so schlimm ansehen.
Nicht jeden Tag steckt jemand eine Rouge-PBX in das VOIP Vlan
Und zur Not müsste man an den beiden Parametern im Template etwas feinjustieren

#Enable or disable the Plug and Play feature; 0-Disabled, 1-Enabled (default);
auto_provision.pnp_enable =  1

#It enables or disables the phone to match the received provisioning URL with the last one from where the phone successfully requests the configuration via a PnP provision.
##0-Disable    1-Enable
static.auto_provision.pnp_check_url.enable = 0

 

[M.Klaussner]

Sehr gute Info !
Plug and Play hatte ich gar nicht auf dem Schirm, sondern nur den RPS und der wäre extern, was wiederum kritisch ist.
Lokales PnP ist man selber schuld
Woher stammt denn dein Code Schnipsel, damit ich das finden kann (Telefon Vorlage der 3CX, Telefon selbst oder ???).
Ich würde dann künftig PnP grundsätzlich deaktivieren um die Fehlerursache zu eliminieren.

 

[M.Klaussner]

Habs gefunden in den Vorlagen !
Ganz lieben Dank für den Hinweis. Das war wohl der Treffer

 

[mbehrens]

Ich würde dann künftig PnP grundsätzlich deaktivieren um die Fehlerursache zu eliminieren.

Warum sollte man Funktionen, die den Betrieb erleichtern, deaktivieren?

 

[M.Klaussner]

Brauche ich noch irgendwann Plug and Play, wenn das Telefon fertig auf die 3CX provisioniert ist ?