Sintesi

Disponibile un Proof of Concept (PoC) per le CVE-2024-41713 e CVE-2024-35286, già sanate dal vendor, e per una vulnerabilità zero-day, presenti nel prodotto Mitel MiCollab.

Tali vulnerabilità, che riguardano il componente NuPoint Unified Messaging (NPM) di Mitel MiCollab, qualora sfruttate in combinazione, potrebbero consentire l’esecuzione di operazioni arbitrarie sul relativo database, il bypass dei meccanismi di autenticazione e l’accesso arbitrario di file sui dispositivi interessati.

Note: la CVE-2024-41713 risulta essere sfruttata attivamente in rete. 

Impatto Sistemico

Tipologia

• Arbitrary File Read
• Authentication Bypass
• Data Manipulation

Prodotti e versioni affette

Mitel

• MiCollab, versione 9.8 SP1 FP2 (9.8.1.201) e precedenti

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza disponibile al link nella sezione Riferimenti. Inoltre, per quanto concerne la vulnerabilità zero-day, si consiglia di monitorare il rilascio di ulteriori aggiornamenti da parte del vendor.

Riferimenti

https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-misa-2024-0029
https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-24-0014
https://www.mitel.com/support/security-advisories/