Vulnérabilités Mitel activement exploitées (KEV)

CVE-2024-41710 — Mitel, téléphones SIP : vulnérabilité d'injection d'arguments

• Produit : Mitel SIP Phones
• Ajoutée au catalogue : 12 février 2025
• Échéance CISA : 5 mars 2025
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-88
• Gravité : CVSS 7,2 (élevée)
• Probabilité d’exploitation (EPSS) : 42 %

Les téléphones SIP Mitel 6800 Series, 6900 Series et 6900w Series, y compris l'unité de conférence 6970, contiennent une vulnérabilité d'injection d'arguments due à une assainissement insuffisant des paramètres pendant le processus de démarrage. Une exploitation réussie peut permettre à un attaquant d'exécuter des commandes arbitraires dans le contexte du système.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · mitel.com

CVE-2024-55550 — Mitel MiCollab : vulnérabilité de traversée de répertoires

• Produit : Mitel MiCollab
• Ajoutée au catalogue : 7 janvier 2025
• Échéance CISA : 28 janvier 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 2,7 (faible)
• Probabilité d’exploitation (EPSS) : 38 %

Mitel MiCollab contient une vulnérabilité de traversée de répertoires qui pourrait permettre à un attaquant authentifié disposant de privilèges administratifs de lire des fichiers locaux au sein du système en raison d'une assainissement des entrées insuffisant. Cette vulnérabilité peut être enchaînée avec CVE-2024-41713, qui permet à un attaquant distant non authentifié de lire des fichiers arbitraires sur le serveur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · mitel.com

CVE-2024-41713 — Mitel MiCollab : vulnérabilité de traversée de répertoires Critique

• Produit : Mitel MiCollab
• Ajoutée au catalogue : 7 janvier 2025
• Échéance CISA : 28 janvier 2025
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,1 (critique)
• Probabilité d’exploitation (EPSS) : 97 %

Mitel MiCollab contient une vulnérabilité de traversée de répertoires qui pourrait permettre à un attaquant d'obtenir un accès non autorisé et non authentifié. Cette vulnérabilité peut être chaînée avec CVE-2024-55550, qui permet à un attaquant distant non authentifié de lire des fichiers arbitraires sur le serveur.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · mitel.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-41223 — Mitel MiVoice Connect : vulnérabilité d'injection de code

• Produit : Mitel MiVoice Connect
• Ajoutée au catalogue : 21 février 2023
• Échéance CISA : 14 mars 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-94
• Gravité : CVSS 6,8 (moyenne)
• Probabilité d’exploitation (EPSS) : 11 %

Le composant Director dans Mitel MiVoice Connect permet à un attaquant authentifié ayant un accès au réseau interne d'exécuter du code dans le contexte de l'application.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · mitel.com

CVE-2022-40765 — Mitel MiVoice Connect : injection de commandes

• Produit : Mitel MiVoice Connect
• Ajoutée au catalogue : 21 février 2023
• Échéance CISA : 14 mars 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-77
• Gravité : CVSS 6,8 (moyenne)
• Probabilité d’exploitation (EPSS) : 11 %

Le composant Mitel Edge Gateway de MiVoice Connect permet à un attaquant authentifié ayant un accès au réseau interne d'exécuter des commandes dans le contexte du système.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · mitel.com

CVE-2022-29499 — Mitel MiVoice Connect : vulnérabilité de validation de données

• Produit : Mitel MiVoice Connect
• Ajoutée au catalogue : 27 juin 2022
• Échéance CISA : 18 juillet 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-20
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 55 %

Le composant Service Appliance dans Mitel MiVoice Connect permet une exécution de code à distance en raison d'une validation incorrecte des données.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2022-26143 — Mitel, MiCollab, MiVoice Business Express : vulnérabilité de contrôle d'accès

• Produit : Mitel MiCollab, MiVoice Business Express
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306, CWE-406
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 87 %

Une vulnérabilité a été identifiée dans MiCollab et MiVoice Business Express qui pourrait permettre à un acteur malveillant d'obtenir un accès non autorisé à des informations et des services sensibles, de provoquer des dégradations de performance ou une condition de déni de service sur le système affecté.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA