Šta se desilo?

Otkrivena je kritična ranjivost u više modela HP Poly Voice VoIP telefona koja omogućava napadačima da izvrše proizvoljan kod sa root pravima. Ranjivost nastaje zbog greške u obradi SDP atributa kada je omogućena ICE funkcionalnost - parser kopira podatke u 256-bajtni bafer bez provere dužine, što može dovesti do prekoračenja bafera. Napadač može iskoristiti grešku slanjem malicioznog SIP INVITE zahteva koji će omogućiti izvršavanje proizvoljnog koda na uređaju.

Koga pogađa?

Ranjivost direktno utiče na kompanije koje koriste HP Poly VoIP telefone - konkretno serije VVX (modeli 150, 250, 350 i 450) i Trio IP Conference serije (modeli 8800, 8500 i 8300). Pošto su ovi uređaji postavljeni u poverljive lokacije kao što su konferencijske sale, kancelarije i bolničke stanice, kompromitovanje može imati ozbiljne implikacije za sigurnost podataka i privatnost razgovora.

Kako se zaštititi?

  • Odmah ažurirajte firmver na Poly Voice uređajima na nove verzije koje sadrže zakrpu
  • Onemogućite ICE funkcionalnost gde nije potrebna za rad uređaja
  • Proverite da li su ICE funkcije aktivirane samo na телефонима koji je zaista trebaju
  • Pratite saopštenja proizvođača za sve dostupne sigurnosne zakrpe
  • Razmotrite ograničenje pristupa VoIP telefonima iz nepoverljive mreže

Tehnički detalji

CVE-2026-0826 je označena kao stack-based buffer overflow sa CVSS skorom od 9.2. Ranjivost se javlja u funkciji koja parsira komponente candidate atributa SDP podataka. Napadač može obrisati bafer od 256 bajtova slanjem candidate atributa veće dužine preko SIP INVITE zahteva. Korišćenjem Return Oriented Programming (ROP) tehnike sa null bajtovima, napadač može zaobići ASLR i NX zaštite i postići proizvoljnu izvršavanje koda sa root privilegijama.

Preporuka Sajber Radara

Ova ranjivost predstavlja značajnu pretnju za korporativnu sigurnost jer VoIP telefoni obično nemaju endpoint zaštitu i mogu postati ulazna tačka za bočno kretanje kroz mrežu. Hitno ažurirajte sve pogođene uređaje i preispitajte potrebu za ICE funkcionalnosti u vašoj infrastrukturi.