محققان امنیت سایبری کد اکسپلویت PoC منتشر کرده‌اند که نقص امنیتی حیاتی وصله شده با شناسه CVE-2024-41713 (امتیاز CVSS: 9.8) را که بر Mitel MiCollab تأثیر می‌گذارد با یک فایل دلخواه که در روز صفر خوانده می‌شود، به هم متصل می‌کند و به مهاجم توانایی دسترسی به فایل‌ها را در نمونه‌های آسیب‌پذیر می‌دهد.
این نقص تزریق SQL که توسط Mitel در اواخر می 2024 با انتشار نسخه 9.8 SP1 (9.8.1.5) MiCollab وصله شده، به اعتبارسنجی ناکافی ورودی مؤلفه NuPoint Unified Messaging (NPM) در Mitel MiCollab مربوط می‌شود که منجر به حمله پیمودن مسیر می‌شود. WatchTowr Labs در گزارشی گفت: نقص مذکور را به عنوان بخشی از تلاش‌های خود برای بازتولید یکی دیگر از باگ‌های مهم در مؤلفه NPM با شناسه CVE-2024-35286 (امتیاز CVSS: 9.8) کشف کرده است که می‌تواند به مهاجم اجازه دسترسی به اطلاعات حساس و اجرای عملیات مدیریتی و پایگاه داده دلخواه را بدهد.
افزون بر این، تجزیه و تحلیل آزمایشگاه WatchTowr نشان داد که دور زدن احراز هویت می‌تواند با یک نقص خواندن دلخواه پس از احراز هویت (وصله نشده) جهت استخراج اطلاعات حساس زنجیر شود. Mitel در توصیه‌ای برای CVE-2024-41713 گفت: اکسپلویت موفقیت‌آمیز این نقص می‌تواند به مهاجم اجازه دسترسی غیرمجاز، با تأثیرات احتمالی بر محرمانگی، یکپارچگی و در دسترس بودن سیستم را بدهد و نفوذگر می‌تواند به اطلاعات ارائه شده از جمله اطلاعات غیر حساس کاربر و شبکه دسترسی غیرمجاز داشته باشد و اقدامات مدیریتی غیرمجاز را روی سرور MiCollab انجام دهد.
https://www.bleepingcomputer.com/news/security/mitel-micollab-zero-day-flaw-gets-proof-of-concept-exploit
https://thehackernews.com/2024/12/critical-mitel-micollab-flaw-exposes.html
