Новости 0Day в MiCollab: тысячи компаний рискуют из-за бездействия Mitel

[NewsMaker]

Компания поставила под удар конфиденциальные данные клиентов, превратившись в инструмент хакеров.

---

---

Специалисты watchTowr обнаружили уязвимость нулевого дня на платформе Mitel MiCollab, позволяющую читать произвольные файлы. Совместно с ранее исправленной критической уязвимостью ошибка открывает злоумышленникам доступ к конфиденциальным данным на уязвимых системах. Для демонстрации угрозы Для просмотра ссылки Войди или Зарегистрируйся PoC-эксплойт после более чем 100 дней ожидания исправления от разработчиков.

Mitel MiCollab — инструмент корпоративного взаимодействия, используемый для общения сотрудников и клиентов через голосовую связь, видеоконференции, чаты, обмен файлами и другие функции. Свыше 16 000 экземпляров системы находятся в открытом доступе, что делает MiCollab привлекательной целью для хакеров и вымогателей.

В мае исследователи watchTowr обнаружили критическую уязвимость Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 9.8) в компоненте NuPoint Unified Messaging (NPM) платформы MiCollab, которая позволяла неавторизованным пользователям получать доступ к чувствительной информации и выполнять операции с базой данных. Недостаток Для просмотра ссылки Войди или Зарегистрируйся в мае.

Позднее команда выявила еще одну уязвимость в компоненте NPM ( Для просмотра ссылки Войди или Зарегистрируйся , оценка CVSS: 7.5), вызванную недостаточной проверкой входных данных. Проблема открывала возможность обхода аутентификации и позволяла хакерам просматривать, изменять или удалять данные пользователей и системные конфигурации. Исправление Для просмотра ссылки Войди или Зарегистрируйся в октябре.

В процессе изучения данных ошибок исследователи выявили третью уязвимость, которая пока не получила CVE-идентификатор и остаётся неустранённой. Проблема позволяет аутентифицированным пользователям читать произвольные файлы, включая критически важные системные, например «/etc/passwd». Для обхода аутентификации исследователи объединили эту уязвимость с CVE-2024-41713 в рамках своего PoC .

Исследователи сообщили о проблеме 26 августа. В октябре Mitel обещала выпустить обновление в первую неделю декабря, однако исправление до сих пор не представлено. В watchTowr заявили, что, учитывая отсутствие обновлений спустя более 100 дней с момента уведомления, информация о проблеме Для просмотра ссылки Войди или Зарегистрируйся в публичный отчет.