Mitel je ove sedmice obavijestio korisnike o dostupnosti zakrpi za kritičnu ranjivost u MiCollab sistemu koja omogućava daljinsko iskorišćavanje bez potrebe za autentifikacijom.
Ranjivost, koja trenutno nema CVE identifikator, opisana je kao problem „path traversal“ koji pogađa NuPoint Unified Messaging (NPM) komponentu MiCollab sistema.
Ugrožene su verzije MiCollab 9.8 SP2 (9.8.2.12) i starije, dok je zakrpa uključena u verzije 9.8 SP3 (9.8.3.1) i novije. Verzije MiCollab 10.0.0.26 i novije nisu pogođene.
Mitel MiCollab je platforma za komunikaciju i kolaboraciju koja korisnicima pruža alate za glasovne i video pozive, čet, veb konferencije i timsku saradnju.
Prema navodima kompanije Mitel, ranjivost može omogućiti napadaču da „dobije neautentifikovan pristup informacijama za konfigurisanje, uključujući neosjetljive korisničke i mrežne podatke, te da izvršava neovlašćene administratorske radnje na MiCollab serveru“.
Dahmani Toumi, istraživač kojem je pripisana zasluga za otkrivanje ove ranjivosti, rekao je za SecurityWeek da se propust može iskoristiti daljinski putem interneta, na MiCollab instancama koje su izložene vebu.
Toumi je naveo da je pomoću pretraživača Shodan identifikovao više od 20.000 instanci izloženih internetu. I dalje nije jasno koliko njih može biti ranjivo na napade.
Prema njegovim riječima, iskorišćavanje ranjivosti u realnim uslovima može dovesti do izlaganja podataka, prekida u radu servisa ili daljeg kompromitovanja sistema ciljanih organizacija.
Istraživač je pojasnio da je Mitel izdao zakrpu za ovu ranjivost još u februaru 2025. Takođe je istakao da ova ranjivost zapravo predstavlja zaobilazak zakrpe za CVE-2024-41713, sličan bezbjednosni propust otkriven u jesen 2024. godine.
Američka agencija za sajber bezbjednost CISA upozorila je početkom 2025. godine da je CVE-2024-41713 aktivno iskorišćavan u praksi, zajedno sa još jednom MiCollab ranjivošću označenom kao CVE-2024-55550.
Nije neuobičajeno da hakeri ciljaju Mitel proizvode u svojim napadima. Na primjer, DDoS botnet „Aquabot“ je nedavno viđen kako iskorišćava ranjivost u Mitel SIP telefonima.
Izvor: SecurityWeek