CVE-2022-40765とは？Mitel MiVoice Connectの脆弱性をわかりやすく解説

ひとことでMitel MiVoice Connect の Edge Gateway で、不正な命令を実行される弱点です。
深刻度6.8 警告CVSS v3.1
まずやることMiVoice Connect の版が 19.3 以前か調べる

基本情報（データから表示）

CVE番号	CVE-2022-40765
製品	Mitel MiVoice Connect
深刻度（CVSS）	6.8 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-02-21
米国政府機関の対応期限	2023-03-14
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-77（コマンドインジェクション）

何が起きた

会社の電話システム Mitel MiVoice Connect の Mitel Edge Gateway という部分に、URL のパラメータのチェックが足りない弱点が見つかりました。ログイン済みの攻撃者がこれを悪用すると、システムの権限で命令を実行できる可能性があります（コマンドインジェクション）。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、同じネットワーク内から、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Mitel MiVoice Connect 19.3（22.22.6100.0）以前を使っている組織が対象です。

何をすればいい

Mitel のセキュリティ勧告（22-0007）は、製品のセキュリティ情報を確認し、ソフトウェアを最新の版に更新するよう案内しています。修正版の番号は、このデータからは不明です。公式の案内を確認し、手順に従って更新してください。分からない点は Mitel の製品サポートに問い合わせてください。

やることチェックリスト

MiVoice Connect の版が 19.3 以前か調べる
MiVoice Connect を最新の版に更新する
不明点は Mitel の製品サポートに問い合わせる

用語メモ

コマンドインジェクション用語集で見る: 入力欄や URL などに命令をまぎれこませ、サーバーに実行させる攻撃です。
パラメータ用語集で見る: URL の後ろなどに付けて、サーバーに渡す値のことです。
ランサムウェア用語集で見る: データを使えない状態にして、元に戻すことと引き換えに身代金を求める不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Mitel MiVoice Connect（CVE-2022-41223）6.8 警告CVSS v3.1Mitel MiVoice Connect の Director で、不正なプログラムを実行される弱点です。同じ製品・メーカーの脆弱性Mitel MiVoice Connect（CVE-2022-29499）9.8 緊急CVSS v3.1Mitel MiVoice Connect の機器で、遠隔からプログラムを実行される弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Mitel MiVoice Connect Command Injection Vulnerability

概要

The Mitel Edge Gateway component of MiVoice Connect allows an authenticated attacker with internal network access to execute commands within the context of the system.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Mitel MiVoice Connect のコマンドインジェクションの脆弱性（CVE-2022-40765）