טלפון שולחני במשרד הוא מחשב קטן עם מיקרופון, והחולשה הזאת נמצאה בטלפוני ה-SIP של Mitel מסדרות 6800, 6900 ו-6900w, כולל יחידת הוועידה 6970. בגרסאות קושחה עד 6.4.0.136 ועד בכלל, מי שמחזיק הרשאות ניהול על המכשיר יכול לגרום לו להריץ פקודות בהקשר של המערכת. הציון הוא 7.2, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA.

מה החולשה?

כשהטלפון עולה הוא מרכיב את עצמו: קורא ערכים, מפעיל תהליכים, מעביר פרמטרים מצד לצד. אחד הפרמטרים שעוברים בדרך הזאת אינו מנוקה כראוי לפני שהוא מגיע לפקודה שהמכשיר מריץ.

ההבדל בין זה ובין חולשות הרצת קוד אחרות הוא עדין ושווה להבין אותו. התוקף כאן לא מחליף את הפקודה שהמכשיר התכוון להריץ, הוא מצרף לה תוספות. פקודה בשורת הפקודה מורכבת מהשם שלה ומארגומנטים שמשנים את מה שהיא עושה, ומי שיכול לדחוף ארגומנט משלו יכול להטות את הפקודה למקום אחר לגמרי. לזה קוראים הזרקת ארגומנטים לפקודה.

שלב האתחול הוא מקום לא נוח במיוחד לבאג כזה, כי זה בדיוק השלב שבו המכשיר בונה את עצמו ועוד לא כל מה שאמור לשמור עליו עומד על הרגליים.

מי מושפע?

לפי הרשומה החולשה קיימת בטלפוני 6905, 6910, 6915, 6920, 6930 ו-6940, בדגמי ה-w שברשימה שהם 6920w, 6930w ו-6940w, וביחידת הוועידה 6970. הטווח הוא כל גרסת קושחה עד 6.4.0.136, שהיא R6.4.0.HF1.

זה לא ציוד שיושב בבתים. הוא יושב במשרדים, בחדרי ישיבות ובמוקדים, וכשיש אחד יש בדרך כלל עשרות. בישראל Mitel אינה השם הראשון שמשרד יזהה, ומערכות הטלפוניה כאן מגיעות גם ממקומות אחרים. מה שכן, טלפוניה ארגונית מוחלפת לעיתים רחוקות, וקושחה של טלפון שולחני היא מהדברים האחרונים שמישהו נזכר לעדכן.

נקודה אחת מרגיעה את התמונה: החולשה מחייבת הרשאות ניהול על המכשיר. זאת לא חולשה שאלמוני מהאינטרנט מפעיל על טלפון בלי שום אחיזה מוקדמת, אלא כזאת שהופכת גישת ניהול להרצת פקודות על המכשיר. מי שמעולם לא נתן לאף אחד גישת ניהול לטלפונים שלו מתחיל מנקודה טובה יותר.

האם מנוצלת בפועל?

כן. החולשה נוספה ב-12 בפברואר 2025 לקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים בארצות הברית לתיקון היה 5 במרץ 2025.

הרשומה ב-NVD מפנה להודעת האבטחה של Mitel וגם לדף ב-GitHub שמרכז חומר על המכשירים האלה.

מה עושים?

בדקו את גרסת הקושחה של הטלפונים. כל גרסה עד 6.4.0.136 ועד בכלל היא בטווח הפגיע, ולכן זה המספר שמחפשים. בארגון עם יותר מכמה מכשירים הבדיקה והעדכון נעשים מהניהול המרכזי של מערכת הטלפוניה, כך שזאת משימה של מי שמתחזק אותה ולא של מי שיושב ליד הטלפון.

עדכנו את הקושחה לפי הודעת האבטחה 24-0019 של Mitel. שם מתפרסמת הגרסה שבה זה תוקן.

במקביל טפלו בתנאי שהחולשה דורשת. עברו על מי שיש לו הרשאות ניהול לטלפונים ועל הדרך שבה מגיעים לממשק הניהול שלהם, וודאו שסיסמת הניהול היא לא זו שהוגדרה פעם אחת בהתקנה ומאז לא נגעו בה. החולשה הזאת לא פותחת את הדלת הראשונה, ולכן הדלת הראשונה היא ההגנה המעשית.

מי שמריץ מכשירים שלא מקבלים יותר קושחה חדשה צריך לשקול אותם בנפרד. במקרה כזה אין מה לעדכן, והשליטה היחידה שנשארת היא על מי שמגיע אליהם בכלל.