Mitel MiVoice Connect のコードインジェクションの脆弱性（CVE-2022-41223）

何が起きた

会社の電話システム Mitel MiVoice Connect の Director という部分のデータベースに、データの種類のチェックが足りない弱点が見つかりました。ログイン済みの攻撃者が細工したデータを送ると、アプリの権限でプログラムを実行できる可能性があります（コードインジェクション）。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も確認されています。NVD の評価では、同じネットワーク内から、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Mitel MiVoice Connect 19.3（22.22.6100.0）以前を使っている組織が対象です。

何をすればいい

Mitel のセキュリティ勧告（22-0008）は、製品のセキュリティ情報を確認し、そこにある修正の手順を実施するよう案内しています。修正版の番号は、このデータからは不明です。公式の案内を確認し、手順に従って対策してください。分からない点は Mitel の製品サポートに問い合わせてください。

やることチェックリスト

• MiVoice Connect の版が 19.3 以前か調べる
• Mitel のセキュリティ情報の修正手順を実施する
• 不明点は Mitel の製品サポートに問い合わせる

用語メモ

コードインジェクション

プログラムに細工したデータを渡して、攻撃者の用意した命令を実行させる攻撃です。

ランサムウェア

データを使えない状態にして、元に戻すことと引き換えに身代金を求める不正なプログラムです。