Trusted Design

CVE-2022-41223 の詳細

CVEの情報

説明:
The Director database component of MiVoice Connect through 19.3 (22.22.6100.0) could allow an authenticated attacker to conduct a code-injection attack via crafted data due to insufficient restrictions on the database data type.

CVE更新日: 2022-11-22 01:15:32.897000

CVSSバージョン: 3.1

CVSSスコア: 6.8

KEVの情報

KEV更新日: 2023-02-21

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.106570000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2022-41223について、以下の観点で解説します。

1. 脆弱性の概要

Mitel MiVoice ConnectのDirectorデータベースコンポーネントにおけるコードインジェクションの脆弱性です。不適切なデータ型制限により、認証された攻撃者が細工したデータを介してコードインジェクション攻撃を実行できる可能性があります。

1.1 影響

この脆弱性により、内部ネットワークアクセスを持つ認証された攻撃者は、アプリケーションのコンテキスト内でコードを実行できる可能性があります。 これは、システムの機密性、完全性、可用性を高度に危険にさらす可能性があります。

1.2 深刻度

  • CVSS v3.1 Base Score: 6.8 (Medium)
  • CVSS Vector: CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H (攻撃元区分: 隣接ネットワーク, 攻撃条件の複雑さ: 低, 必要な特権レベル: 高, ユーザーインタラクション: 不要, スコープ: 変更なし, 機密性への影響: 高, 完全性への影響: 高, 可用性への影響: 高)
  • CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Mitel MiVoice Connect バージョン 19.3 (22.22.6100.0) 以前のバージョンが影響を受けます。

2.2 影響を受ける設定

Directorデータベースコンポーネントが影響を受けます。

3. 影響を受けた時の兆候

不明

4. 推奨対策

4.1 本対策

ベンダーの指示に従ってアップデートを適用してください。 Mitelはセキュリティアドバイザリを公開しています。

4.2 暫定回避策（緩和策）

不明

他に解説すべき観点

  • このCVEは、2023年2月20日にCISAの既知の悪用されている脆弱性（KEV）カタログに追加され、米国連邦政府機関に対する是正措置の期限は2023年3月13日でした。
  • ランサムウェアとの関連が指摘されています。
  • この脆弱性の弱点タイプはCWE-94: Improper Control of Generation of Code ('Code Injection')に分類されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る