CVE-2020-10211

RCE w komponencie UCB Mitel MiVoice Connect — brak walidacji parametrów URL

CVSS 9.8v3.1pub. 2020-04-17upd. 2025-11-03

Podatność umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnych skryptów w systemie Mitel MiVoice Connect poprzez komponent UCB. Oceniona jako krytyczna (CVSS 9.8), nie wymaga żadnej interakcji użytkownika ani uprawnień.

▸ Pokaż oryginał (EN)

A remote code execution vulnerability in UCB component of Mitel MiVoice Connect before 19.1 SP1 could allow an unauthenticated remote attacker to execute arbitrary scripts due to insufficient validation of URL parameters. A successful exploit could allow an attacker to gain access to sensitive information.

🤖 Analiza AI

Jak działa

Komponent UCB systemu Mitel MiVoice Connect nie przeprowadza wystarczającej walidacji parametrów URL przesyłanych w żądaniach sieciowych. Atakujący może spreparować odpowiednie żądanie HTTP zawierające złośliwy payload i wysłać je bez konieczności uwierzytelnienia. W wyniku niewystarczającej kontroli danych wejściowych (CWE-20) serwer przetwarza przekazane parametry w sposób niezamierzony, co prowadzi do wykonania arbitralnych skryptów.

Skutki

Atakujący może zdalnie wykonać dowolne skrypty na podatnym systemie oraz uzyskać dostęp do wrażliwych informacji. W najgorszym scenariuszu możliwe jest pełne przejęcie kontroli nad systemem komunikacyjnym.

Mitygacja

Należy zaktualizować Mitel MiVoice Connect do wersji 19.1 SP1 lub nowszej. Szczegółowe informacje dostępne w biuletynie bezpieczeństwa producenta: Mitel Product Security Advisory 20-0004 (https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-20-0004)