Une série de bogues de type “zero day” permet aux attaquants d’accéder à des fichiers sensibles dans Mitel MiCollab. Un correctif est entre-temps disponible pour certaines de ces vulnérabilités.
L’outil de collaboration MiCollab de Mitel est vulnérable à trois bogues de type “zero day”. Les attaquants peuvent les combiner pour accéder à des fichiers sensibles. Les chercheurs de WatchTowr ont découvert le problème et en publient maintenant les détails. Un correctif complet n’est pas encore disponible, mais les chercheurs ont attendu 100 jours pour rendre le bogue public, comme il est d’usage et justifié de le faire.
Deux bogues sont vraiment dangereux. Le premier, CVE-2024-35286, est classé 9.8 et constitue une vulnérabilité par injection SQL. Le second, CVE-2024-41713, permet aux attaquants d’ignorer l’authentification. Enfin, il y a un troisième bogue sans numéro CVE. Celui-ci permet à un attaquant de lire des données, mais nécessite une authentification.
(Partiellement) patché
Mitel fournit déjà un correctif pour le bogue CVE-2024-41713. Celui-ci a été éliminé dans la version MiCollab 9.8 SP2 (9.8.2.12). L’autre fuite a également été colmatée depuis le mois de mai. Selon Mitel, il n’y a plus d’urgence, car le bogue d’authentification est essentiel pour monter une attaque à distance. L’entreprise considère que le bogue restant n’est pas critique. Les détails concernant les plans de correction ne sont pas encore connus.
Il est essentiel de s’assurer que MiCollab est à jour et qu’au moins les deux vulnérabilités les plus critiques ont été corrigées.