Sicherheitslücke bei Snom Telefonen: NFON AG informiert zur aktuellen Lage

Die am 13. Januar 2015 bekannt gewordene Sicherheitslücke bei Snom Telefonen stellt Kunden von TK-Cloudanlagen vor viele Fragen. Jürgen Städing, Chief Product Officer von NFON, beantwortet die wichtigsten Fragen der Kunden.

Wie stellt sich das Problem der Lücke dar?

Bei einer Sicherheitsüberprüfung von Telefonen der Firma Snom wurden mehrere kritische Sicherheitslücken festgestellt, die einem Angreifer unter bestimmten Voraussetzungen vollen Zugriff auf und damit Kontrolle über die Geräte verschaffen können. Dabei spielt das Webinterface eine zentrale Rolle.

Wen betrifft das Problem?

Laut dem Hersteller Snom weisen sämtliche Firmwareversionen vor der 8.7.5.15 und alle von der Firma hergestellten Desktop-IP-Telefone diese Lücken auf.

NFON-Kunden sind nach aktuellem Kenntnisstand jedoch nicht betroffen, da bei NFON die Websperre des Telefon nach Standardeinstellungen gesperrt ist. Dies wird nach Rückfrage von NFON durch Snom bestätigt. Zudem sind Telefone an der NFON Cloud-Telefonanlage immer über einen gesicherten Kanal (HTTPs) provisioniert. Wir überprüfen aktuell sämtliche bekannt gewordenen Lücken und etwaige Auswirkungen auf unser Produkt und empfehlen unseren Kunden bis auf Weiteres den Status der Websperre zu überprüfen und ggf. zu aktivieren.

Darüber hinaus greifen alle durch NFON entwickelten Sicherheitsmaßnahmen, um die Telefonie der Kunden durch Missbrauch Dritter zu schützen. Diese Maßnahmen sind unabhängig vom jeweils genutzten Hersteller immer aktiv.

Wie bzw. wann wird diese Lücke komplett geschlossen?

Snom hat bereits gestern eine aktualisierte Firmware Version 8.7.5.15 veröffentlicht, die diese Lücke schließen soll.

Da NFON Kunden nach aktuellem Kenntnisstand nicht betroffen sind, haben wir uns entschieden diese neue Firmware-Version nicht ohne weitergehende Tests zur Verfügung zu stellen, da ein übereiltes Bereitstellen der neuen Firmware zu nicht unerheblichen Qualitätseinbußen im Gesamterlebnis NFON führen würde. Erste Kompatibilitätsprüfungen bestätigen dies. Um unseren Kunden durch dieses schnell bereitgestellte Update nicht mehr Schaden als Nutzen zu bereiten, testen wir aufgrund der aktuellen Einschätzung der Sachlage das Update weiter und arbeiten ggf. mit Snom an einem qualitativ einwandfreien Update, das Kunden eine problemlose Installation ermöglicht.