最近の脆弱性 › CVE-2024-41710

Mitel SIP Phones の脆弱性（CVE-2024-41710）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-41710
製品	Mitel SIP Phones
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-02-12
米国政府機関の対応期限	2025-03-05
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-88

何が起きた

Mitel の SIP Phones（6800 Series、6900 Series、6900w Series、6970 Conference Unit）に、起動時の処理で受け取る設定値の確認が不十分な弱点が見つかりました。細工した値を渡すことで、機器の中で任意の（攻撃者が好きに選べる）命令を実行される可能性があります。攻撃はネットワーク経由で行えますが、攻撃者には管理者などの高い権限が必要です。この弱点は、実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Mitel 6800 Series、6900 Series、6900w Series の SIP Phones と、6970 Conference Unit を使っている組織が対象です。Mitel の勧告では、R6.4.0.HF1 (R6.4.0.136) とそれより前のバージョンが影響を受けるとされています。

何をすればいい

Mitel の勧告は、ソフトウェアを最新のバージョンに更新するよう案内しています。電話機のソフトウェアが R6.4.0.HF1 (R6.4.0.136) 以前のままになっていないか確認してください。詳しくは Mitel の公式の案内を確認し、不明な点は Mitel の製品サポートに問い合わせてください。

やることチェックリスト

電話機のソフトウェアのバージョンを調べる
ソフトウェアを最新のバージョンに更新する
不明な点を Mitel の製品サポートに問い合わせる

用語メモ

SIP: インターネットを使った電話（IP電話）で、通話をつなぐために使われる決まりごとです。
ソフトウェア: 機器を動かすためのプログラムのことです。電話機などの機器では、更新して弱点を直すことがあります。

元データ（英語・CISA KEV より）

Mitel SIP Phones Argument Injection Vulnerability

概要

Mitel 6800 Series, 6900 Series, and 6900w Series SIP Phones, including the 6970 Conference Unit, contain an argument injection vulnerability due to insufficient parameter sanitization during the boot process. Successful exploitation may allow an attacker to execute arbitrary commands within the context of the system.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.