最近の脆弱性 › CVE-2024-41713
Mitel MiCollab のパストラバーサルの脆弱性（CVE-2024-41713）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2024-41713 |
|---|---|
| 製品 | Mitel MiCollab |
| 深刻度（CVSS） | 9.1 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| KEVへの追加日 | 2025-01-07 |
| 米国政府機関の対応期限 | 2025-01-28 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-22 |
何が起きた
Mitel MiCollab の NuPoint Unified Messaging (NPM) という部品に、入力の確認が不十分なため、パストラバーサルができてしまう弱点が見つかりました。悪用されると、利用者のデータやシステムの設定を見たり、壊したり、消したりされるおそれがあります。この弱点は実際に悪用されており、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。CVE-2024-55550 と組み合わせて悪用できることも報告されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Mitel MiCollab を使っている組織が対象です。影響を受けるのは MiCollab through 9.8 SP1 FP2 (9.8.1.201) で、Mitel の勧告でも 9.8 SP1 FP2 (9.8.1.201) とそれ以前が対象とされています。
何をすればいい
MiCollab 9.8 SP2 (9.8.2.12) 以降に更新してください。Mitel は代わりの方法として、6.0 以降のリリース向けのパッチも提供しています。手順は Mitel の勧告にある KMS の記事にまとめられているので、Mitel の公式の案内を確認してください。
やることチェックリスト
- MiCollab を 9.8 SP2 (9.8.2.12) 以降に更新する
- すぐ更新できなければ 6.0 以降向けのパッチを当てる
- CVE-2024-55550 の対策もあわせて行う
用語メモ
- パストラバーサル
- ファイルの場所の指定に「../」のような文字を入れて、本来は見られないはずの場所のファイルにたどり着く手口です。
- NuPoint Unified Messaging
- Mitel MiCollab に含まれる、ボイスメールなどのメッセージを扱う部品です。
元データ（英語・CISA KEV より）
Mitel MiCollab Path Traversal Vulnerability
概要
Mitel MiCollab contains a path traversal vulnerability that could allow an attacker to gain unauthorized and unauthenticated access. This vulnerability can be chained with CVE-2024-55550, which allows an unauthenticated, remote attacker to read arbitrary files on the server.
推奨対応
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.