31.000 3CX-Telefonanlagen in Deutschland per Internet erreichbar

Veröffentlicht am 31. März 2022 von Günter Born

Sicherheit (Pexels, allgemeine Nutzung)Kurzer Hinweis an die Leserschaft, die ein 3CX-System (Telefonanlage) in einer Version unterhalb v18 Update 3 (Build 450) betreibt. Die Tage hatte ich im Beitrag Schwachstelle in Windows 3CX-Telefonanlagen, Patchen ist angesagt vor einer Schwachstelle gewarnt und patchen empfohlen. Nun stoße ich auf einen Bericht, wo jemand sich die 3CX vorgenommen hat und die Ausnutzung von Schwachstellen beschreibt. Er hat die Suchmaschine Shodan befragt, wie viele Systeme per "3CX Phone System Management Console" über das Internet erreichbar sind. Für Deutschland lautete das Ergebnis "über 31.600 Installationen". Die Details habe ich in obigem Beitrag nachgetragen.

Dieser Beitrag wurde unter Sicherheit, Software abgelegt und mit , verschlagwortet. Setze ein Lesezeichen für den Permalink.

8 Kommentare zu 31.000 3CX-Telefonanlagen in Deutschland per Internet erreichbar

  1. RalphAndreas sagt:
    31. März 2022 um 14:27 Uhr

    >"3CX Phone System Management Console" über das Internet erreichbar sind.

    Das ist nun wirklich nichts ungewöhliches, ähnlich wie Exchange, wird ja auch für viele Funktionen benötigt. Halt Patchen…

    Antworten
    • Foegi sagt:
      31. März 2022 um 14:36 Uhr

      Ich finde es ungewöhnlich, den zb. das Exchange Admin Center kann man im meinem Falle auch nicht über das Internet erreichen. Und ich sehe keinen Sinn darin die 3CX System Management Console über Internet verfügbar zu machen. Wenn ich dran rumfummeln muss dann per VPN.

      Antworten
    • FriedeFreudeEierkuchen sagt:
      1. April 2022 um 09:51 Uhr

      Warum um alles in der Welt direkt verfügbar machen? Alle Admin-Interfaces sollten nur über VPN zugänglich sein, alles andere ist totaler Leichtsinn.
      Diese super-banale Erkenntnis hat sich leider noch nicht bei allen durchgesetzt. Es gibt in DE genügend (Industrie-) Steuerungsanlagen, die nicht geschützt sind. Man muss es Cyberkriminellen oder staatlichen Sabotage-Trupps nicht so leicht machen.

      Antworten
  2. Lukas sagt:
    31. März 2022 um 14:55 Uhr

    Und wie soll sich die APP am Handy mit der 3CX verbinden?

    Antworten
  3. DasOlli sagt:
    31. März 2022 um 16:34 Uhr

    @Lucas: bei Exchange ist das Exchange Admin Center losgelöst vom Postfachzugriff, d.h. ich kann den Zugriff auf die Verwaltungskonsole von "außen" verbieten und der Zugriff auf die Postfächer funktioniert trotzdem weiter…. daher die Frage warum die 3CX Phone System MANAGEMENT Console von extern errreichbar sein muss…

    Antworten
    • RalphAndreas sagt:
      31. März 2022 um 16:41 Uhr

      nun ja, 3CX hat ja nur ein Webinterface. Standardmäßig ist eine administrative Anmeldung eh nur am "localhost" möglich.

      Antworten
    • Lukas sagt:
      1. April 2022 um 09:11 Uhr

      @Olli
      ja, das ist mir klar.
      Trotzdem ist die 3CX dann vom WAN aus erreichbar.
      Zwar nicht die Admin Konsole, aber das ist ja auch einfach nur ein anderer Port

      Antworten
  4. Christian sagt:
    1. April 2022 um 18:14 Uhr

    Ich frag mich eher, warum man die 3CX auf einem Windows Server betreiben sollte? Das Debian Image ist doch perfekt.

    Antworten

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros. Kommentare abseits des Themas bitte unter Diskussion. Kommentare, die gegen die Regeln verstoßen, werden rigoros gelöscht. Wegen Missbrauchs bin ich gezwungen, Name und E-Mail als Pflichtfelder beim Kommentieren zu aktivieren. Wählt ggf. einen (noch nicht benutzten) Alias-Namen und verwendet ggf. eine Dummy-Mail-Adresse (z.B. t@hotkev.com).

Du findest den Blog gut, hast aber Werbung geblockt? Du kannst diesen Blog auch durch eine Spende unterstützen.