VoIPmonitor监控软件中发现的关键安全漏洞

关键的安全漏洞已经被发现VoIPmonitor如果成功利用该软件，未经验证的攻击者可能会将权限升级到管理员级别并执行任意命令。

2021年12月15日，来自埃塞俄比亚的渗透测试和脆弱性研究公司KrBIT的研究人员负责披露，在2022年1月11日发布的Web GUI的第24.97版中讨论了这些问题。

VoIPmonitor的维护人员在更改日志中指出：“9个关键漏洞——为未经验证的用户注入新的SQL，从而获得管理员权限。”。

VoIPmonitor是一款开源的网络数据包嗅探器，具有商业前端，可用于运行在Linux上的SIP RTP和RTCP VoIP协议，使用户可以监视和排除SIP VoIP呼叫的质量，以及在CDR数据库中解码、播放和存档呼叫。

The three flaws identified by Kerbit is below –

• CVE-2022-24259（CVSS得分：9.8）和#8211；GUI的“cdr.php”组件中存在一个绕过身份验证的漏洞，该漏洞使未经身份验证的攻击者能够通过精心编制的请求提升权限。
• CVE-2022-24260（CVSS得分：9.8）和#8211；GUI的“api.php”和“utilities.php”组件中存在一个SQL注入漏洞，允许攻击者将权限提升到管理员级别并检索敏感数据。
• CVE-2022-24262（CVSS得分：7.8）和#8211；由于缺少对存档文件格式的检查，通过GUI的配置还原功能执行远程命令，从而允许不良参与者通过特制的文件执行任意命令。

发现漏洞的Kerbit研究员丹尼尔·埃舍图（Daniel Eshetu）在一篇评论文章中说：“漏洞出现的主要原因是，我们可以上传任何文件扩展名，我们可以访问上传的文件，让它们执行。”。