关键的 Mitel 和 Oracle 漏洞被发现正在被主动利用，CISA 呼吁修补 在线

Mitel MiCollab 漏洞威胁及修补建议

关键要点

CISA正式将Mitel MiCollab中的安全漏洞加入已知漏洞目录，并强调应迅速修补。其中两个漏洞可被攻击者利用，从而获得未授权访问权限。建议联邦机构在15天内修补受影响的系统。

来源：Mitel Networks

美国网络安全和基础设施安全局CISA警告，攻击者正在积极利用Mitel MiCollab中的漏洞，以未授权访问敏感系统文件。该机构在周二将这款广泛使用的通信平台中的两个路径遍历漏洞添加到了其已知被利用漏洞KEV目录中，并指出存在利用证据。

CISA在一份公告中表示：“这些漏洞是一种常见的攻击路径，给联邦企业带来重大风险。”公告还提到了一项重大Oracle漏洞，该漏洞最初在2022年被报告，可能现在已经被利用。

漏洞信息详解

其中一个Mitel漏洞被标记为 CVE202441713，并被评定为关键性漏洞CVSS 98/10，该漏洞存在于Mitel MiCollab的NuPoint统一消息组件中，攻击者可以利用输入验证不足的问题，未授权访问并查看、破坏或删除用户数据和系统配置。

另一个漏洞被标记为 CVE202455550，其严重性为中等CVSS 44/10，可以让已认证的攻击者由于输入清理不足，读取本地系统上的管理员级文件。然而，该漏洞并不允许文件更改或权限提升，Mitel在2024年10月的披露中指出。

尽管CISA更新中没有详细披露利用的技术细节，但值得注意的是，这些漏洞可以串联利用，使远程攻击者能够读取敏感系统文件。

科学上上网工具下载

在2024年10月，Mitel已经为受影响的版本发布了修补程序，并提供了供用户升级的安全版本。

立即行动的重要性

活跃的漏洞利用表明修补措施不力，并呼吁用户尽快采取行动。CISA建议联邦民事执行部FCEB机构应根据BOD 2201的指令，在15天内修补受影响的系统。

攻击者利用Oracle的关键漏洞

CISA的公告还强调了一项旧的Oracle漏洞，该漏洞在2024年10月被公司修补，此前已经有关于“恶意利用”的报告。

该漏洞被识别为CVE20202883，影响了Oracle WebLogic Server，允许未认证的攻击者在具备网络访问权限的情况下完全接管服务器。该漏洞的严重性得分为CVSS 98/10。

CISA表示，BOD 2201同样适用于Oracle漏洞，组织必须通过优先修复该漏洞来减少对网络攻击的暴露风险。