Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22

CVE-2024-41713

Mitel MiCollab NuPoint Unified Messaging bileşeninde dizin geçişi (path traversal) açığı

Mitel MiCollab

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
4 Ağu 2026
Açık yaşı
737 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 7 Oca 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 28 Oca 2025. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Şirket telefon ve iletişim sisteminde kullanılan Mitel MiCollab ürününde, giriş yapmadan istismar edilebilen kritik bir açık bulunuyor ve saldırganlar tarafından aktif olarak kullanılıyor. Kötüye kullanım durumunda kullanıcı verileri ve sistem ayarları okunabilir, bozulabilir ya da silinebilir. Bu nedenle önlemlerin gecikmeden uygulanması gerekir.

ÖzetTürkçe

Mitel MiCollab ürününün NuPoint Unified Messaging (NPM) bileşeninde, yetersiz girdi doğrulaması nedeniyle dizin geçişi (path traversal) açığı bulunmaktadır. Kimliği doğrulanmamış bir saldırgan bu açığı ağ üzerinden istismar edebilir. Açık, MiCollab 9.8 SP1 FP2 (9.8.1.201) dahil bu sürüme kadarki sürümleri etkilemektedir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir ve aktif olarak istismar edilmektedir.

Saldırgan ne yapabilir?

Saldırgan yetkisiz erişim elde ederek kullanıcı verilerini ve sistem yapılandırmalarını görüntüleyebilir, bozabilir veya silebilir. Bu durum hem gizliliği hem de bütünlüğü ciddi biçimde etkiler.

Kaynaktaki açıklama (İngilizce)

A vulnerability in the NuPoint Unified Messaging (NPM) component of Mitel MiCollab through 9.8 SP1 FP2 (9.8.1.201) could allow an unauthenticated attacker to conduct a path traversal attack, due to insufficient input validation. A successful exploit could allow unauthorized access, enabling the attacker to view, corrupt, or delete users' data and system configurations.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Mitel'in yayımladığı güvenlik bildirimini inceleyin ve üreticinin sunduğu yama veya azaltma (mitigation) talimatlarını MiCollab sistemlerinize uygulayın. Genel öneri
  2. CISA'nın gereklilik kararı uyarınca üretici talimatlarındaki önlemleri uygulayın; önlemler uygulanamıyorsa ürünün kullanımını sonlandırın. CISA
  3. Yama veya önlem uygulanana kadar MiCollab sistemine internetten erişimi kısıtlayın ve NuPoint Unified Messaging bileşenine yalnızca güvenilir ağlardan erişim verin. Genel öneri
  4. Sistemin daha önce istismar edilip edilmediğini kontrol edin; web ve uygulama günlüklerinde olağan dışı yol içeren istekleri ve yapılandırma dosyalarındaki beklenmedik değişiklikleri inceleyin. Genel öneri

Ek önlemler

  • MiCollab gibi iletişim sistemlerini doğrudan internete açmayın; erişimi VPN veya güvenlik duvarı ile sınırlayın. Genel öneri
  • Sistem yapılandırmalarının ve kullanıcı verilerinin düzenli yedeğini alın ve yedeklerin çevrimdışı saklandığından emin olun. Genel öneri
  • Erişim günlüklerini merkezi olarak toplayıp dizin geçişi denemelerine yönelik uyarılar tanımlayın. Genel öneri
  • Üretici güvenlik bültenlerini ve CISA KEV listesini düzenli takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Mitel MiCollab ≤ 9.8.1.201 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.