SPA 300 i SPA 500 to tanie telefony IP wykorzystywane najczęściej przez małe i średnie firmy. Informację o istnieniu niezałatanej do tej dziury opublikowała firma Cisco w specjalnym biuletynie bezpieczeństwie. Znajduje się ona w oprogramowaniu firmware zarządzającym urządzeniem, a konkretnie w części definiującej domyślne ustawienia telefonu.

Zdalny użytkownik nie musi wtedy uwierzytelniać się i przejąć nad telefonem kontrolę poprzez wysłanie do niego specjalnie spreparowanego żądania XML. Cisco informuje, że dziura znajduje się w telefonach, którymi zarządza firmware 7.5.5 oraz późniejsze wersje tego oprogramowania.

Zobacz również:

• Cyberobrona? Mamy w planach
• Cisco i Microsoft transmitują dane z prędkością 800 Gb/s

Na chwilę obecną Cisco nie oferuje żadnej łaty likwidującej dziurę, dlatego firmy posiadające takie telefony powinny zachować szczególną ostrożność przez upewnienie się np., że dostęp do sieci w której pracując takie telefony mają tylko zaufani użytkownicy. Można to zrobić konfigurując w odpowiedni sposób zaporę kontrolującą dostęp do firmowej sieci. Haker musiałby wtedy sforsować najpierw zaporę, zanim podjąłby próbę włamania się do telefonu.

Najgorszy scenariusz dotyczy sytuacji, w których administratorzy skonfigurowali telefony SPA 300 i SPA 500 w taki sposób, że można do nich uzyskać dostęp z Internetu. Można je bowiem wtedy identyfikować za pomocą różnych narzędzi, takich np. jak aplikacja SHODAN. Jest to wyspecjalizowany silnik do przeszukiwania Internetu i wykrywania w nim określonych urządzeń.