Mitel、企業向けコミュニケーションプラットフォームの重大な脆弱性にパッチを提供

Mitelは今週、攻撃者が管理者権限を取得できる可能性のある、MiVoice MX-ONE企業向けコミュニケーションプラットフォームの重大な脆弱性に対するパッチを発表しました。

この脆弱性にはCVE識別子は割り当てられていませんが、MitelによるとCVSSスコアは9.4であり、リモートの認証されていない攻撃者がシステム上のユーザーまたは管理者アカウントにアクセスできる可能性があります。

Mitelはこのセキュリティ欠陥について、アクセス制御が適切に実装されていないことに起因する認証バイパスの問題であると説明しています。

「Mitel MiVoice MX-ONEのProvisioning Managerコンポーネントに認証バイパスの脆弱性が確認されており、これが悪用された場合、認証されていない攻撃者が不適切なアクセス制御により認証バイパス攻撃を行う可能性があります」と同社は述べています。

このバグはMiVoice MX-ONEバージョン7.3（7.3.0.0.50）から7.8 SP1（7.8.1.0.14）に影響し、それぞれMX-ONEバージョン7.8および7.8 SP1向けにMXO-15711_78SP0およびMXO-15711_78SP1のリリースで修正されました。

「MiVoice MX-ONEバージョン7.3以上をご利用の場合は、認定サービスパートナーにパッチリクエストを提出してください。パッチはMitelの裁量で提供されます」と同社は述べています。

ベンダーは顧客に対し、直ちにパッチを適用するよう強く推奨しており、MX-ONEのサービスをインターネットに公開しないこと、またProvisioning Managerサービスへのアクセス制限や無効化によってリスクを軽減できるとしています。

サイバーセキュリティ企業Arctic Wolfは、現時点でこの脆弱性が実際に悪用された形跡はなく、これを標的とした概念実証（PoC）エクスプロイトも公開されていないと述べています。

広告。スクロールして続きを読む。

しかし、脅威アクターがパッチの公開されたMitelの脆弱性を標的にしてきたことを踏まえ、利用可能な修正をできるだけ早く適用するべきです。

1月には、Aquabotボットネットが2024年7月に修正されたMitel電話機の脆弱性を悪用しているのが確認されました。その2週間後、米国サイバーセキュリティ庁（CISA）は、2つのMitelMiCollabの脆弱性をKEVカタログに追加しました。