Mitel MiVoice Connect の脆弱性（CVE-2022-29499）

何が起きた

Mitel の電話システム MiVoice Connect の Service Appliance（サービス用の機器）に、受け取ったデータの確認が正しくないため、遠隔から任意のプログラム（攻撃者が好きに選べるプログラム）を実行されるおそれがある弱点が見つかりました。NVD の評価では、ネットワーク経由で、権限のない攻撃者でも悪用でき、利用者の操作も不要です。実際の攻撃での悪用と、ランサムウェアでの悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

MiVoice Connect 19.2 SP3 以前（14.2 などのより古い版を含む）を使っている組織が対象です。メーカーによると、影響は Service Appliance の SA 100、SA 400、Virtual SA を含む構成だけで、ほかの Mitel 製品は影響を受けません。

何をすればいい

メーカーの勧告に従い、製品のセキュリティ情報 22-0002-001 に書かれた修正の手順を行ってください。詳しくは公式の案内を確認し、分からない点はメーカーのサポートに問い合わせてください。

やることチェックリスト

• 22-0002-001 の修正の手順を行う
• SA 100、SA 400、Virtual SA の有無を確かめる
• MiVoice Connect のバージョンを確かめる

用語メモ

Service Appliance

MiVoice Connect で使われる、特定のサービスを動かすための専用の機器や仮想の機器のことです。

ランサムウェア

データを暗号化して使えなくし、元に戻す代わりに金銭を要求する不正なプログラムのことです。