MiVoice Connect

Die Schwachstelle steckt in der Director-Datenbankkomponente von Mitel MiVoice Connect, einer Plattform für Unternehmenstelefonie und Kommunikation. Ursache ist eine unzureichende Beschränkung der Datentypen in der Datenbank: Die Komponente prüft nicht streng genug, welche Art von Daten verarbeitet wird. Dadurch kann ein angemeldeter Angreifer speziell präparierte Daten einschleusen und auf diesem Weg eigenen Programmcode zur Ausführung bringen. Der Code läuft im Kontext der Anwendung, sodass der Angreifer Aktionen mit deren Rechten ausführen kann. Voraussetzung ist ein gültiges Konto sowie Zugang zum internen Netzwerk – ein anonymer Zugriff aus dem Internet ist also nicht vorgesehen. Da Director die zentrale Verwaltungs- und Datenhaltungskomponente der Plattform ist, kann ein erfolgreicher Angriff die Kommunikationsinfrastruktur und die darüber verwalteten Telefonie-Dienste empfindlich beeinträchtigen.