CVE-2022-40765
Mitel MiVoice Connect Command Injection Vulnerability
Beschreibung
CVE-2022-40765 ist eine Schwachstelle mittlerer Schwere in der Edge-Gateway-Komponente von Mitel MiVoice Connect bis Version 19.3 (22.22.6100.0), die auf einer Command-Injection (CWE-77) basiert. Ein authentifizierter Angreifer mit Zugang zum internen Netzwerk kann durch unzureichend eingeschränkte URL-Parameter Betriebssystembefehle einschleusen und ausführen. Mit einem CVSS-Score von 6,8 (MEDIUM) erfordert die Ausnutzung zwar hohe Berechtigungen und Netzwerknähe, die Schwachstelle wurde jedoch von der CISA aufgrund bestätigter aktiver Ausnutzung und Ransomware-Verbindung in den KEV-Katalog aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mitel | mivoice connect | <= 22.22.6100.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.mitel.com/support/security-advisories(Vendor Advisory)
- https://www.mitel.com/support/security-advisories/mitel-product-security-advisory-22-0007(Mitigation, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-40765(US Government Resource)
Schwachstellentyp
CWE-77: Improper Neutralization of Special Elements used in a Command (Command Injection)
CVE-2022-40765 fällt in die Schwachstellenkategorie CWE-77 (unzureichende Neutralisierung spezieller Elemente in Befehlen). Diese Schwachstellenklasse entsteht, wenn eine Anwendung externe Eingaben in Systembefehle einbaut, ohne gefährliche Zeichen oder Zeichenfolgen zu filtern oder zu escapen. Im Fall von Mitel MiVoice Connect werden URL-Parameter der Edge-Gateway-Komponente ohne ausreichende Validierung in Systembefehle übernommen, was einem Angreifer die Einschleusung und Ausführung beliebiger Befehle ermöglicht.
Weitere Informationen: CWE-77 — Improper Neutralization of Special Elements used in a Command
Auswirkungsanalyse
Angriffsvektor (Angrenzendes Netzwerk): CVE-2022-40765 erfordert Zugang zum internen bzw. angrenzenden Netzwerk, was die Ausnutzung auf Angreifer mit lokaler Netzwerkpräsenz beschränkt. Angriffskomplexität (Niedrig): Trotz der erforderlichen Netzwerknähe ist der Angriff selbst einfach durchzuführen. Hohe Berechtigungen erforderlich: Der Angreifer benötigt privilegierten Zugang zum MiVoice-Connect-System, was die Zielgruppe potenzieller Angreifer einschränkt. Keine Benutzerinteraktion notwendig: Die Ausnutzung erfolgt ohne Zutun eines Benutzers. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Bei erfolgreicher Ausnutzung kann der Angreifer beliebige Betriebssystembefehle auf dem Edge-Gateway ausführen, vertrauliche Kommunikationsdaten und Konfigurationen auslesen, das System manipulieren und die Verfügbarkeit der Telefoninfrastruktur beeinträchtigen. Der CVSS-Score von 6,8 (MEDIUM) berücksichtigt die einschränkenden Faktoren Netzwerknähe und hohe Berechtigungen. Die bestätigte Ransomware-Assoziation im KEV-Katalog belegt jedoch, dass diese Schwachstelle trotzdem in realen Angriffsszenarien ausgenutzt wird.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-40765 bestätigt und die Schwachstelle mit einer Behebungsfrist bis zum 14. März 2023 in den KEV-Katalog aufgenommen. Die Schwachstelle ist mit Ransomware-Aktivitäten assoziiert, was auf den Einsatz durch professionelle Bedrohungsakteure hindeutet. Der EPSS-Score von 2,42 % (Perzentile: 84,88 %) deutet darauf hin, dass die Ausnutzung zwar vorkommt, aber nicht flächendeckend verbreitet ist — konsistent mit gezielten Angriffen gegen spezifische MiVoice-Connect-Installationen. In den verfügbaren Referenzen sind keine öffentlichen Exploit-Veröffentlichungen dokumentiert, jedoch stellt Mitel im Security Advisory MISA-2022-0007 Mitigationsmaßnahmen bereit.
Behebung
- Mitigationsmaßnahmen gemäß Herstellerempfehlung umsetzen: Die im Mitel Security Advisory MISA-2022-0007 beschriebenen Gegenmaßnahmen umgehend anwenden oder das Produkt außer Betrieb nehmen, falls keine Mitigationen verfügbar sind.
- MiVoice Connect auf gepatchte Version aktualisieren: Sicherstellen, dass MiVoice Connect auf eine Version aktualisiert wird, die den Patch für CVE-2022-40765 enthält. Betroffen sind alle Versionen bis einschließlich 19.3 (22.22.6100.0).
- URL-Parameter-Filterung am Edge Gateway implementieren: Falls ein sofortiges Update nicht möglich ist, den Zugriff auf die Edge-Gateway-Komponente über Firewall-Regeln einschränken und eingehende URL-Parameter auf verdächtige Zeichen (Semikolons, Pipe-Symbole, Backticks) filtern.
- Netzwerksegmentierung verstärken: Das Edge-Gateway-Segment vom restlichen Netzwerk isolieren und den Zugriff ausschließlich auf autorisierte Administratoren und vertrauenswürdige IP-Bereiche beschränken.
- Systemlogs auf Command-Injection-Versuche überwachen: Edge-Gateway-Logs auf ungewöhnliche URL-Parameter, verdächtige Prozesse oder Anzeichen für Befehlseinschleusung untersuchen und bei Kompromittierungsverdacht umgehend Incident-Response-Maßnahmen einleiten.
Technische Details
Schwachstellenmechanismus: CVE-2022-40765 betrifft die Edge-Gateway-Komponente von Mitel MiVoice Connect und basiert auf einer Command-Injection-Schwachstelle (CWE-77). Die Ursache liegt in unzureichenden Einschränkungen bei der Verarbeitung von URL-Parametern, die ohne adäquate Bereinigung in Systembefehle eingebettet werden. CVSS-Vektor: Der Vektorstring CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff über ein angrenzendes Netzwerk mit niedriger Komplexität, aber hohen Berechtigungen erfolgt. Der unveränderte Scope bedeutet, dass die Auswirkungen auf die MiVoice-Connect-Komponente begrenzt sind. Angriffsszenario: Ein Angreifer mit privilegiertem Zugang zum internen Netzwerk sendet speziell präparierte HTTP-Anfragen mit manipulierten URL-Parametern an die Edge-Gateway-Schnittstelle. Durch das Fehlen einer ordnungsgemäßen Eingabevalidierung werden die eingeschleusten Befehle vom Betriebssystem ausgeführt, was zur vollständigen Kompromittierung des Edge-Gateway-Servers führen kann.
Häufig gestellte Fragen
Wird CVE-2022-40765 aktiv ausgenutzt?
Ja, CVE-2022-40765 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und eine Verbindung zu Ransomware-Aktivitäten bestätigt. Die Behebungsfrist war der 14. März 2023. Der EPSS-Score von 2,42 % deutet auf gezielte statt flächendeckende Ausnutzung hin.
Welche Produkte sind von CVE-2022-40765 betroffen?
Betroffen ist Mitel MiVoice Connect in allen Versionen bis einschließlich 19.3 (Build 22.22.6100.0). Die Schwachstelle liegt spezifisch in der Edge-Gateway-Komponente des Produkts.
Wie behebe ich CVE-2022-40765?
Die primäre Maßnahme ist die Umsetzung der im Mitel Security Advisory MISA-2022-0007 beschriebenen Mitigationen oder das Update auf eine gepatchte Version von MiVoice Connect. Falls keine Mitigationen verfügbar sind, sollte das Produkt gemäß CISA-Empfehlung außer Betrieb genommen werden. Weitere Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2022-40765?
CVE-2022-40765 ist mit einem CVSS-Score von 6,8 als MEDIUM eingestuft. Obwohl die Ausnutzung hohe Berechtigungen und Netzwerknähe erfordert, sind die Auswirkungen bei erfolgreicher Ausnutzung gravierend — insbesondere da die Schwachstelle mit Ransomware-Angriffen assoziiert ist und aktiv in freier Wildbahn ausgenutzt wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.