Aktywnie wykorzystywana w atakach

Mitel MiVoice Connect Command Injection Vulnerability

Mitel - MiVoice Connect · Figuruje w katalogu CISA KEV od 2023-02-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2022-40765

ŚrednieCVSS 6.8KEV

Opublikowano: 22/11/2022(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Podatność w komponencie Edge Gateway w Mitel MiVoice Connect do wersji 19.3 (22.22.6100.0) pozwala uwierzytelnionemu atakującemu z dostępem do sieci wewnętrznej na przeprowadzenie ataku wstrzyknięcia poleceń. Wynika to z niewystarczającego ograniczenia parametrów URL.

Ocena ryzyka

Atakujący z dostępem do sieci wewnętrznej może wykonać dowolne polecenia systemowe na urządzeniu Edge Gateway, co może prowadzić do pełnego przejęcia kontroli nad systemem telekomunikacyjnym.

Rekomendacja

Zaktualizuj Mitel MiVoice Connect do najnowszej wersji zawierającej poprawki walidacji parametrów URL. Rozważ segmentację sieci i ograniczenie dostępu do interfejsu Edge Gateway.

Inne podatności w Mitel MiVoice Connect

CVE-2022-29499KrytyczneAktywnie exploitowane
Komponent Service Appliance w Mitel MiVoice Connect do wersji 19.2 SP3 zawiera podatność na zdalne wykonanie kodu z powodu nieprawidłowej walidacji danych. Dotyczy to urządzeń SA 100, SA 400 i Virtual SA.

Oryginalny opis (angielski, źródło NVD)

A vulnerability in the Edge Gateway component of Mitel MiVoice Connect through 19.3 (22.22.6100.0) could allow an authenticated attacker with internal network access to conduct a command-injection attack, due to insufficient restriction of URL parameters.