MiCollab הוא מוצר תקשורת ושיתוף של Mitel, מהסוג שארגונים מריצים כמרכזייה וכמערכת שיחות פנימית. ברשומה מתוארת חולשה שמאפשרת למי שמחזיק הרשאות ניהול לקרוא מהשרת קבצים שלא נועדו לו. הציון הוא 2.7 מתוך 10, מהנמוכים שתמצאו בקטלוג החולשות המנוצלות בפועל, והיא בכל זאת שם.

מה החולשה?

מערכת שמאפשרת לקרוא קובץ מהשרת, למשל כדי להציג יומן או להוריד גיבוי, מקבלת מהמשתמש את שם הקובץ. הציפייה היא שהשם יישאר בתוך התיקייה שהוקצתה לו. כשהמערכת אינה בודקת את מה שהוזן, אפשר לכתוב בשם רצף שמשמעותו תיקייה אחת למעלה, ולחזור עליו עד שיוצאים מהתיקייה המיועדת ומגיעים לקבצים אחרים. לטכניקה הזאת קוראים Path Traversal, והרשומה מסמנת את החולשה כ-CWE-22.

עד כאן התיאור המקובל. מה שמיוחד במקרה הזה הוא כמה צר הוא. הרשומה מגבילה אותו בשלוש אמירות מפורשות: התוקף צריך להיות מאומת ולהחזיק הרשאות ניהול, מה שנחשף מוגבל למידע מערכת שאינו רגיש, ואי אפשר לשנות קבצים או להסלים הרשאות. קריאה בלבד.

זה מסביר את הציון. הדירוג מסמן הרשאות גבוהות נדרשות ופגיעה נמוכה בסודיות בלבד, בלי פגיעה בשלמות ובלי פגיעה בזמינות, ומכאן 2.7.

אז למה חולשה כזאת נמצאת ברשימת החולשות שמנוצלות בפועל? הרשומה אינה עונה על זה והקטלוג אינו מפרט. מה שאפשר לומר הוא מה שציון CVSS מודד ומה שהוא אינו מודד. הציון מתאר את החולשה הבודדת, לא את התפקיד שהיא ממלאת אצל תוקף שכבר הגיע פנימה. קריאה של קובץ מערכת היא בדיוק סוג המידע שמשרת את השלב הבא, לא את השלב הנוכחי.

מי מושפע?

הרשומה מונה את MiCollab בכל הגרסאות עד 9.8.1.201 ועד בכלל.

בישראל MiCollab אינו שם מוכר לציבור הרחב, אבל מרכזיות וכלי תקשורת ארגוניים כאלה יושבים בחברות בינוניות וגדולות, במשרדים עם סניפים ובארגונים שעברו לטלפוניה על גבי הרשת. אם יש לכם מערכת טלפוניה מנוהלת, השאלה מי מחזיק בה הרשאות ניהול היא שאלה שכדאי לדעת את התשובה שלה.

האם מנוצלת בפועל?

כן, לפי הקטלוג. ב-7 בינואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 28 בינואר 2025 לרשויות הפדרליות בארצות הברית.

הרשומה פורסמה ב-10 בדצמבר 2024, כחודש לפני כן.

מה עושים?

עדכנו לגרסה מעל 9.8.1.201. ההודעה של Mitel היא ההודעה הספציפית לחולשה הזאת, ודף ההתראות של היצרן מרכז את כל ההודעות אם אתם מריצים גם מוצרים אחרים שלו.

מכיוון שהניצול דורש חשבון ניהול, הצעד השני הוא לעבור על החשבונות האלה. בדקו מי מחזיק הרשאות ניהול ב-MiCollab, בטלו חשבונות של אנשים שהתפקיד שלהם השתנה או שעזבו, והחליפו פרטי אימות של חשבונות ניהול שמשותפים לכמה אנשים.

ואם הגעתם לכאן, ראיתם את הציון 2.7 והנחתם שאין מה למהר, שימו לב שהחולשה בכל זאת רשומה כמנוצלת בפועל. זה ההבדל שחשוב כאן.