Problema de seguridad en Elastix 1.6.x

Discussion in 'General' started by rt0led0, Mar 26, 2011.

  1. rt0led0

    Joined:
    Nov 12, 2008
    Messages:
    12
    Likes Received:
    0
    Como seguramente muchos de nosotros tenemos por ahi varias instalaciones con la versión 1.6.x de Elastix, y tambien seguramente hemos estado sufriendo por diversos tipos de ataques que hemos sufrido.

    Quiero documentar algo que encontre en un servidor vulnerado y que probe en otros servidores "seguros", es algo que vi que un atacante hizo y quedo registrado en los logs, y es simplemente teclear algo como esto:

    http://ip-de-tu-conmutador/modules/exte ... ad_csv.php

    Y asi, sin mas, podremos descargar la lista de extensiones dadas de alta en la maquina, con lo que ya podran colgar troncales o extensiones a nuestro sistema y de nada servira la politica de uso de contraseñas.

    Mas adelante documentare el ataque que aprovechando la vulnerabilidad del FreePBX respecto al usuario: asteriskuser, se puede lograr comprometer por completo el sistema y usar un script en php llamado: zq.php
     
  2. fmvillares

    Joined:
    Sep 8, 2007
    Messages:
    1,785
    Likes Received:
    0
    esa es un exploit muy conocido en los users avanzados de elastix y una delas razones por las cuales hay qeu actualizar freepbx cada vez...freepbx 2.8 y 2.9 no lo tienen si los elastix viejos instalados por no profesionales q nunca mas son actualizados ni apsan por programas de texting u update regulares
     
  3. eljerry

    Joined:
    Jun 19, 2008
    Messages:
    14
    Likes Received:
    0
  4. agidi

    Joined:
    Jan 13, 2008
    Messages:
    152
    Likes Received:
    0
    Si lamentablemente han ido cargando fallas serias de seguridad de una version a otra. :(
     

Share This Page