Cảnh báo bảo mật: Lỗi xác thực trong MiVoice MX-ONE cho phép tin tặc chiếm quyền truy cập

[CyberThao]

Tin tặc có thể chiếm quyền kiểm soát MiVoice MX-ONE chỉ trong vài bước​

Mới đây, Mitel đã phát hành bản cập nhật bảo mật khẩn cấp cho hệ thống MiVoice MX-ONE sau khi phát hiện một lỗ hổng cực kỳ nghiêm trọng trong thành phần Provisioning Manager. Lỗ hổng này cho phép tin tặc bỏ qua bước đăng nhập và chiếm toàn quyền truy cập hệ thống mà không cần xác thực.

Theo thông báo của Mitel, lỗi nằm ở cơ chế kiểm soát truy cập không được thiết lập đúng cách, khiến việc xác thực bị vô hiệu hóa. Nếu bị khai thác, kẻ tấn công chưa được xác thực có thể truy cập vào tài khoản người dùng hoặc thậm chí tài khoản quản trị viên – từ đó kiểm soát toàn bộ hệ thống.

Lỗ hổng hiện chưa được cấp mã CVE, nhưng được đánh giá với điểm CVSS rất cao – 9,4/10, thể hiện mức độ rủi ro cực lớn. Sự cố này ảnh hưởng đến các phiên bản MiVoice MX-ONE từ 7.3 (7.3.0.0.50) đến 7.8 SP1 (7.8.1.0.14).

Critical Mitel Flaw Lets Hackers Bypass Login, Gain Full Access to MiVoice MX-ONE Systems

Mitel fixes critical MiVoice and MiCollab flaws that allow account access and SQL attacks. Users must update to avoid system compromise.

thehackernews.com

Mitel đã phát hành bản vá cho hai phiên bản 7.8 và 7.8 SP1 thông qua các bản cập nhật MXO-15711_78SP0 và MXO-15711_78SP1. Với những khách hàng đang sử dụng phiên bản từ 7.3 trở lên, Mitel khuyến nghị liên hệ với đối tác dịch vụ được ủy quyền để yêu cầu bản vá sớm nhất.

Trong thời gian chờ áp dụng bản vá, người dùng nên hạn chế để các dịch vụ MX-ONE tiếp xúc trực tiếp với Internet công cộng và chỉ triển khai trong mạng nội bộ đáng tin cậy nhằm giảm thiểu nguy cơ bị tấn công.

Mitel MiCollab cũng dính lỗ hổng SQL nghiêm trọng​

Cùng thời điểm, Mitel cũng công bố một bản cập nhật bảo mật cho nền tảng MiCollab để xử lý một lỗ hổng bảo mật khác, có mã định danh CVE-2025-52914, với điểm CVSS là 8,8/10. Khác với MiVoice MX-ONE, lỗ hổng này yêu cầu kẻ tấn công đã đăng nhập, nhưng vẫn có thể khai thác để thực hiện các lệnh SQL độc hại.

Nếu bị khai thác, kẻ tấn công có thể truy cập dữ liệu người dùng và thực thi các lệnh SQL tùy ý, gây ảnh hưởng nghiêm trọng đến bảo mật, tính toàn vẹn và khả dụng của hệ thống.

Lỗ hổng này ảnh hưởng đến MiCollab phiên bản 10.0 (10.0.0.26) đến 10.0 SP1 FP1 (10.0.1.101) và cả 9.8 SP3 (9.8.3.1) trở về trước. Bản vá đã được phát hành trong phiên bản 10.1 (10.1.0.10) và 9.8 SP3 FP1 (9.8.3.103) trở lên.

Với việc các thiết bị Mitel từng là mục tiêu của nhiều cuộc tấn công trước đây, người dùng cần khẩn trương cập nhật phần mềm để bảo vệ hệ thống trước những nguy cơ tiềm ẩn ngày càng gia tăng.

Đọc chi tiết tại đây: https://thehackernews.com/2025/07/critical-mitel-flaw-lets-hackers-bypass.html

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview