ברכיב NuPoint Unified Messaging של Mitel MiCollab, החלק שמטפל בהודעות הקוליות ובדואר המאוחד, נמצאה חולשה שנגישה מהרשת בלי שם משתמש וסיסמה. לפי הרשומה היא מאפשרת לתוקף להגיע לנתוני משתמשים ולהגדרות המערכת, ולא רק לקרוא אותם. הציון הוא 9.1 מתוך 10, והחולשה רשומה כמנוצלת בפועל מינואר 2025.
מה החולשה?
הרכיב מקבל בבקשה שם של קובץ או נתיב, ואמור להתייחס אליו כאל שם בלבד. לפי הרשומה הקלט הזה אינו נבדק כראוי, ולכן מי ששולח את הבקשה יכול לנסח נתיב שמוביל אל מחוץ לאזור שהרכיב אמור לגעת בו. הרשומה מכנה זאת Path Traversal ומסמנת אותה כ-CWE-22.
שני פרטים הופכים את זה לחמור כאן, ושניהם מופיעים ברשומה. הראשון הוא שלא נדרש אימות: הבקשה עובדת בלי חשבון, בלי סיסמה ובלי הרשאה מוקדמת. השני הוא היקף הפעולה. הרשומה אינה מדברת רק על צפייה, אלא על גישה שמאפשרת לצפות בנתוני משתמשים ובהגדרות המערכת, לפגום בהם או למחוק אותם.
הצירוף הזה הוא מה שמייצר 9.1. הדירוג מסמן גישה מהרשת, מורכבות נמוכה, בלי הרשאות נדרשות ובלי פעולה של המשתמש, עם פגיעה גבוהה בסודיות ובשלמות.
ושווה לשים לב למה שאין שם. אין פגיעה בזמינות. במוצר שהוא מערכת הטלפוניה של הארגון זה פרט שכדאי להבין נכון: הרשומה אינה מתארת השתקה של המרכזייה, אלא גישה לנתונים ולהגדרות שלה.
מי מושפע?
הרשומה מונה את MiCollab בכל הגרסאות עד 9.8.1.201 ועד בכלל, והחולשה יושבת ברכיב NuPoint Unified Messaging.
בישראל הקהל כאן ארגוני: חברות שעברו לטלפוניה מנוהלת, משרדים עם כמה סניפים וגופים שמריצים מרכזייה מרכזית אחת. מה שמייחד את החשיפה הוא שמערכת כזאת בנויה להיות נגישה, לעתים גם מחוץ למשרד, כדי שעובד יוכל להאזין להודעות מהבית או מהדרך. בדיוק הנגישות הזאת מעמידה את הרכיב במקום שבו חולשה שאינה דורשת אימות אפשרית להגעה מהאינטרנט.
האם מנוצלת בפועל?
כן. ב-7 בינואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל. מועד התיקון לרשויות הפדרליות בארצות הברית נקבע ל-28 בינואר 2025.
הרשומה פורסמה ב-21 באוקטובר 2024, כלומר כשלושה חודשים לפני הכניסה לקטלוג.
מה עושים?
עדכנו מעבר לגרסה 9.8.1.201. ההודעה של Mitel היא המקור לגרסה שמתאימה להתקנה שלכם.
עד שהעדכון מותקן, הצעד שמקטין את החשיפה הוא לצמצם מי יכול להגיע לרכיב מבחוץ. אם ממשק MiCollab או רכיב ההודעות נגישים מהאינטרנט, הגבילו את הגישה לרשת הארגונית או ל-VPN. חולשה שאינה דורשת אימות נעצרת בשלב הרשת, לא בשלב ההתחברות.
אחרי העדכון בדקו את ההגדרות עצמן. הרשומה מתארת גם שינוי ומחיקה של נתונים ושל הגדרות, ולכן אם המערכת הייתה חשופה, שווה להשוות את ההגדרות הנוכחיות למה שאתם מצפים לראות, ולחפש ביומנים פניות לנתיבים חריגים.