Mitel MiVoice Connect のコマンドインジェクションの脆弱性（CVE-2022-40765）

何が起きた

会社の電話システム Mitel MiVoice Connect の Mitel Edge Gateway という部分に、URL のパラメータのチェックが足りない弱点が見つかりました。ログイン済みの攻撃者がこれを悪用すると、システムの権限で命令を実行できる可能性があります（コマンドインジェクション）。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、同じネットワーク内から、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Mitel MiVoice Connect 19.3（22.22.6100.0）以前を使っている組織が対象です。

何をすればいい

Mitel のセキュリティ勧告（22-0007）は、製品のセキュリティ情報を確認し、ソフトウェアを最新の版に更新するよう案内しています。修正版の番号は、このデータからは不明です。公式の案内を確認し、手順に従って更新してください。分からない点は Mitel の製品サポートに問い合わせてください。

やることチェックリスト

• MiVoice Connect の版が 19.3 以前か調べる
• MiVoice Connect を最新の版に更新する
• 不明点は Mitel の製品サポートに問い合わせる

用語メモ

コマンドインジェクション

入力欄や URL などに命令をまぎれこませ、サーバーに実行させる攻撃です。

パラメータ

URL の後ろなどに付けて、サーバーに渡す値のことです。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えに身代金を求める不正なプログラムです。