Een kritieke path traversal-kwetsbaarheid in Mitel MiCollab kan aanvallers ongeautoriseerde toegang tot het voip-platform geven, zo waarschuwt de leverancier. Die heeft een beveiligingsupdate beschikbaar gemaakt om het probleem te verhelpen. De impact van de kwetsbaarheid, die nog geen CVE-nummer heeft, is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. De Engelse gezondheidszorg NHS verwacht op korte termijn misbruik van het probleem.

Mitel MiCollab is een communicatieplatform dat 'voice, video, chat, sms, webconferencing en team collaboration tools' combineert. De software blijkt de invoer van gebruikers niet goed te valideren, waardoor die een path traversal-aanval kunnen uitvoeren. Bij path traversal krijgt een aanvaller door het aanpassen van gebruikersinvoer toegang tot directories en bestanden waar hij eigenlijk geen toegang toe zou moeten hebben.

In het geval van Mitel MiCollab kan een aanvaller via het lek ongeautoriseerde toegang tot "provisioning information" krijgen en ongeautoriseerde "administrative actions" op de server uitvoeren. Eind december werd een soortgelijk probleem in MiCollab verholpen (CVE-2024-41713). Die kritieke path traversal-kwetsbaarheid werd volgens NHS England op grote schaal misbruikt. Vanwege de overeenkomsten tussen beide beveiligingslekken verwacht NHS England dat ook het nieuwe path traversal-lek bij aanvallen zal worden misbruikt. Organisaties worden opgeroepen zo snel mogelijk te updaten.