Trusted Design

解説:

CVE-2022-29499について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2022-29499は、Mitel MiVoice ConnectのService Applianceコンポーネントにおけるリモートコード実行 (RCE) の脆弱性です。 この脆弱性は、不適切なデータ検証（CWE-20）に起因し、認証なしの遠隔の攻撃者が、細工されたリクエストを送信することで任意のコードを実行できる可能性があります。 この脆弱性は実際に悪用されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログに登録されています。 特に、Lorenzランサムウェアグループを含むランサムウェアグループによって悪用されたことが確認されています。

1.1 影響

この脆弱性が悪用されると、認証されていない遠隔の攻撃者がMitel MiVoice Connect Service Appliance (SA 100, SA 400, Virtual SAを含む) 上でリモートコード実行を達成し、システムを完全に侵害する可能性があります。これにより、情報漏洩、データの改ざん、およびシステムの可用性喪失につながる可能性があります。 ランサムウェア攻撃の初期アクセス経路として悪用されている事例も報告されています。

1.2 深刻度

CVE-2022-29499のCVSSv3スコアは9.8であり、「Critical（緊急）」と評価されています。 NIST NVDによっても「CRITICAL」と評価されています。 また、CISAのKEVカタログに含まれていることから、実際に悪用が確認されているため、CVSSスコアに加えて優先度が高いとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Mitel MiVoice ConnectのService Applianceコンポーネントに影響し、以下のバージョンが対象となります。

• Mitel MiVoice Connect バージョン19.2 SP3まで
• R14.xおよびそれ以前のバージョン
• 脆弱なファームウェアバージョンには、R19.2 SP3 (22.20.2300.0) およびそれ以前、R14.xおよびそれ以前が含まれます。

影響を受けるService Applianceは、SA 100、SA 400、およびVirtual SAです。

2.2 影響を受ける設定

特定のOSバージョンや設定に限定される情報は見つかりませんでした。脆弱性はService Applianceコンポーネント自体に存在します。 ただし、アプライアンスがインターネットに直接公開されている場合、攻撃のリスクが著しく高まります。

3. 影響を受けた時の兆候

影響を受けた場合の兆候として、以下のようなものが挙げられます。

• Mitel MiVoice Connect Service Applianceからの予期しないアウトバウンドネットワーク接続。
• Service Applianceコンポーネントからの異常なプロセス実行。
• MiVoice Connectサービスからの異常なシステムコールやシェル生成。
• Service Applianceの設定に対する不正なアクセスまたは変更の証拠。
• 攻撃者によってリバースシェルやウェブシェルが作成されている可能性があります。
• Chiselなどのトンネリングツールが使用されている可能性があります。
• CrowdStrikeの報告によると、攻撃者は侵入後にファイルシステムからすべてのファイルを削除しようと試みましたが、/tmpパーティションから証拠が回収されました。

4. 推奨対策

4.1 本対策

• Mitelが提供するセキュリティパッチを、影響を受けるすべてのService Applianceに直ちに適用してください。
• Mitel Security Advisory 22-0002を参照し、詳細なパッチ情報と更新手順を確認してください。
• Mitel MiVoice ConnectをバージョンR19.3へアップグレードしてください。このバージョンで脆弱性は完全に修正されています。
• セキュリティパッチを展開する際は、変更管理のベストプラクティスに従い、本番環境に適用する前に開発環境でテストすることを推奨します。

4.2 暫定回避策（緩和策）

• Service Applianceコンポーネントへのネットワークアクセスをファイアウォールルールで制限してください。
• Service Applianceインターフェースの公開を信頼できるネットワークのみに限定する、厳格なネットワークアクセスコントロールを実装してください。
• Mitel MiVoice Connectアプライアンスを認証を必要とするファイアウォールまたはVPNの背後に配置してください。
• Service Appliance上の不要なサービスを無効化または制限して、攻撃対象領域を減らしてください。
• 悪用試行に関連する疑わしいトラフィックパターンを監視し、ブロックしてください。
• アプライアンスをオープンインターネットに公開しないようにしてください。
• これらのデバイスのネットワークフィルターを見直し、最小権限の原則を適用してください。
• MitelはR19.3リリース前の回避策として、R19.2 SP3およびそれ以前、R14.xおよびそれ以前のリリース向けにスクリプトを提供しています。
• 外部スキャンを実行して組織のフットプリントを評価し、環境とセキュリティ体制を強化してください。
• PowerShellログ構成の一部として、モジュールログ、スクリプトブロックログ、トランスクリプションログをオンにし、ログを一元的なロギングソリューションに送信してください。
• キャプチャしたログを外部に保存し、攻撃者の回避行動に対して詳細なフォレンジック分析を実行できるようにしてください。

参照したサイト

• SentinelOne: CVE-2022-29499: Mitel MiVoice Connect RCE Vulnerability
• NIST NVD: NVD - CVE-2022-29499
• Safeguard: CVE-2022-29499: Mitel MiVoice Connect Data Validation Vulnerability
• Rapid7 Vulnerability Database: CVE-2022-29499: Improper Input Validation
• Rapid7 Blog: Exploitation of Mitel MiVoice Connect SA CVE-2022-29499
• GitHub: The Service Appliance component in Mitel MiVoice Connect... · CVE-2022-29499
• NHS England Digital: Exploitation of RCE Vulnerability in Mitel MiVoice Connect
• Arctic Wolf: Lorenz Ransomware Group Cracks MiVoice
• SOC Prime: Lorenz Ransomware Detection: The Group Leverages CVE-2022-29499 Vulnerability in Mitel VoIP Devices
• SecurityWeek: CISA Warns of Two Mitel Vulnerabilities Exploited in Wild
• Dark Reading: Lorenz Ransomware Goes After SMBs Via Mitel VoIP Phone Systems
• Bleeping Computer: Mitel zero-day used by hackers in suspected ransomware attack
• CVE Record: CVE-2022-29499
• SecurityWeek: Lorenz Ransomware Gang Exploits Mitel VoIP Appliance Vulnerability in Attacks
• CrowdStrike: Novel Exploit in Mitel VOIP Appliance