Суть уязвимости

Уязвимость (SSRF) в системе управления устройствами Yealink позволяет неавторизованному злоумышленнику отправлять произвольные HTTP-запросы от имени сервера управления. Это может привести к: * Доступу к внутренним службам, недоступным извне (например, к API облачного контроллера). * Обходу сетевых ограничений (firewall). * В данном случае — к удаленному выполнению кода (RCE) на сервере управления.

Как исправить

Установите последнюю версию системы управления устройствами Yealink (Device Management System), в которой уязвимость устранена.

1. Определите текущую версию: Войдите в веб-интерфейс системы управления и проверьте версию на главной странице или в разделе "О системе".
2. Загрузите патч: Перейдите на официальный портал поддержки Yealink и найдите обновления для вашей модели системы управления (например, DMS).
3. Установите обновление: Следуйте официальной инструкции Yealink. Процесс обычно включает загрузку файла обновления и его установку через веб-интерфейс.

Критически важные версии для обновления (или более новые): * DMS: Обновитесь до версии DMS 3.0.0.20 или выше. * Другие продукты Yealink Device Management: Установите последние доступные стабильные обновления.

Временное решение

Если немедленное обновление невозможно, примените следующие меры:

1. Ограничьте сетевой доступ:

   • Настройте сетевой firewall (например, iptables или аппаратный) так, чтобы к веб-интерфейсу системы управления Yealink (порт 80/HTTP и 443/HTTPS по умолчанию) могли обращаться только доверенные IP-адреса (административные сети). ```bash

   Пример iptables для разрешения доступа только с сети 192.168.1.0/24

   iptables -A INPUT -p tcp --dport 443 -s 192.168.1.0/24 -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j DROP ```

2. Используйте WAF (Web Application Firewall):

   • Настройте правила в WAF (например, ModSecurity, облачный WAF) для блокировки запросов, содержащих внутренние IP-адреса (например, 127.0.0.1, 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12) или доменные имена (например, localhost) в параметрах URL.

3. Изолируйте сеть:

   • Разместите сервер Yealink Device Management в изолированном сегменте сети (VLAN), из которого он может взаимодействовать только с необходимыми для работы службами (например, с телефонами Yealink и NTP-сервером). Запретите ему исходящие HTTP/HTTPS-запросы к другим внутренним системам.