Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-20

CVE-2022-29499

Mitel MiVoice Connect Service Appliance bileşeninde uzaktan kod çalıştırma açığı

Mitel MiVoice Connect

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
6 Ağu 2026
Açık yaşı
1646 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 27 Haz 2022 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 18 Tem 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Şirket telefon sistemi (Mitel MiVoice Connect) bileşenindeki bu kritik açık, internetten herhangi bir parola gerekmeden cihazın ele geçirilmesine izin verebilir. Açığın gerçek saldırılarda kullanıldığı bilindiği için güncelleme gecikmeden yapılmalıdır. İstismar halinde iletişim hizmetlerinde kesinti ve kurum ağına sızma riski doğar.

ÖzetTürkçe

Mitel MiVoice Connect ürününün Service Appliance bileşeninde, hatalı veri doğrulaması nedeniyle uzaktan kod çalıştırma mümkündür. Açık, 19.2 SP3 dahil olmak üzere bu sürüme kadar olan sürümleri etkiler. Etkilenen cihazlar SA 100, SA 400 ve Virtual SA'dır. Saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden yapılabilir.

Saldırgan ne yapabilir?

Uzaktan ve kimlik doğrulaması olmadan saldırgan, etkilenen Service Appliance üzerinde kod çalıştırarak cihazın gizlilik, bütünlük ve erişilebilirliği üzerinde tam kontrol elde edebilir. Açık CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.

Kaynaktaki açıklama (İngilizce)

The Service Appliance component in Mitel MiVoice Connect through 19.2 SP3 allows remote code execution because of incorrect data validation. The Service Appliances are SA 100, SA 400, and Virtual SA.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Mitel'in yayımladığı güncelleme talimatlarına göre MiVoice Connect Service Appliance (SA 100, SA 400, Virtual SA) bileşenlerini güncelleyin; güncel yama ve yönergeler için Mitel'in resmi kaynaklarını kontrol edin. Genel öneri
  2. CISA KEV gereği: Güncellemeleri satıcı talimatlarına uygun şekilde uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa Service Appliance cihazlarının internetten doğrudan erişimini kısıtlayın ve yalnızca gerekli iç ağ kaynaklarına izin verin. Genel öneri

Ek önlemler

  • Telefon sistemi bileşenlerini internete açmayın; uzaktan erişim gerekiyorsa VPN veya güvenlik duvarı kuralları ile sınırlandırın. Genel öneri
  • Service Appliance cihazlarında olağan dışı süreçleri, beklenmeyen giden bağlantıları ve yetkisiz yapılandırma değişikliklerini izleyin. Genel öneri
  • Sistemin daha önce istismar edilmiş olabileceğini göz önünde bulundurarak güncelleme sonrası günlükleri inceleyin ve gerekirse olay müdahalesi başlatın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Mitel MiVoice Connect ≤ 22.20.2300.0 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.