CVE-2022-29499

Mitel MiVoice Connect

ВЫСОКАЯ ВЕРОЯТНОСТЬ

Дата обнаружения

2022-06-27

Официальное описание

The Service Appliance component in Mitel MiVoice Connect allows remote code execution due to incorrect data validation.

🛡️
Технический анализ и план устранения

Суть уязвимости

CVE-2022-29499 представляет собой критическую уязвимость типа Remote Code Execution (RCE) в компоненте Service Appliance (SA) системы Mitel MiVoice Connect. Проблема вызвана недостаточной валидацией входных данных в скрипте обработки запросов.

Злоумышленник может отправить специально сформированный HTTP-запрос к уязвимому устройству, что позволяет выполнить произвольные команды в операционной системе с правами веб-сервера. Уязвимость активно эксплуатировалась в атаках типа Ransomware для получения первоначального доступа к корпоративным сетям.

Как исправить

Основным способом устранения уязвимости является обновление программного обеспечения Mitel MiVoice Connect до актуальных версий, в которых данная брешь закрыта.

  1. Определите текущую версию вашего ПО через панель администратора Connect Director.
  2. Скачайте соответствующий пакет обновлений с официального портала поддержки Mitel.
  3. Установите обновление для MiVoice Connect Service Appliance. Исправление включено в следующие релизы:
    • MiVoice Connect R19.3 (19.101.101.0) и выше.
    • Специальные патчи для версий R14.x и выше.

Временные меры

Если немедленное обновление системы невозможно, необходимо применить скрипт исправления (Remediation Script), выпущенный производителем для блокировки вектора атаки.

  1. Скачайте скрипт RCE_Hotfix_v1.1.sh (или актуальную версию) из личного кабинета Mitel.
  2. Перенесите скрипт на устройство Service Appliance через SCP или SFTP.
  3. Подключитесь к устройству по SSH.
  4. Установите права на выполнение и запустите скрипт:
chmod +x RCE_Hotfix_v1.1.sh

./RCE_Hotfix_v1.1.sh

  1. В качестве дополнительной меры безопасности ограничьте доступ к портам управления Service Appliance (80/443) на сетевом экране, разрешив подключения только с доверенных IP-адресов администраторов.