CVE-2024-41710

Falha de argument injection (CWE-88) no processo de boot dos telefones SIP Mitel 6800, 6900 e 6900w, incluindo a unidade de conferência 6970. Um atacante com privilégio administrativo consegue injetar comandos que serão executados durante a inicialização do aparelho, obtendo execução arbitrária no contexto do sistema. Está na lista KEV da CISA por exploração confirmada, mas o pré-requisito de acesso administrativo autenticado limita bastante o universo de exploração oportunista.

A vulnerabilidade está na forma como o firmware sanitiza parâmetros que acabam persistidos no arquivo de configuração local do dispositivo (/nvdata/etc/local.cfg) e depois reconsumidos durante o boot. Pesquisa técnica publicada (Kyle Burns, PacketLabs) demonstrou o mecanismo usando o endpoint de configuração '802.1x Support' (8021xsupport.html) e o parâmetro 802.1x+identity: o valor enviado por POST não é filtrado corretamente contra sequências que a aplicação web (linemgrSip) interpreta como terminador de linha. O byte %dt é reinterpretado como %0d, permitindo 'quebrar' a linha de configuração original e injetar uma entrada nova no arquivo.

Durante o boot, entradas de posição mais alta sobrescrevem as anteriores no local.cfg, e o campo hostname foi o vetor demonstrado, por ser consumido pelo processo udhcpc na inicialização de rede. Ao injetar uma entrada 'hostname:' contendo argumentos extras (como opções do udhcpc encadeadas com um comando shell via ponto-e-vírgula), o atacante consegue fazer com que o script de startup do DHCP execute comandos arbitrários com os privilégios do processo de boot.

O CWE associado é argument injection (CWE-88): o problema não é injeção de comando clássica em um único campo livre, mas a possibilidade de controlar argumentos passados a um binário/script legítimo (udhcpc) por meio de um parâmetro que devia conter apenas um identificador. A CVSS oficial (PR:H, AC:L, UI:N) reflete que a exploração exige que o atacante já tenha sessão administrativa válida no dispositivo — não é uma falha explorável por qualquer usuário de rede sem credenciais.

O vetor documentado é uma requisição HTTP POST autenticada como administrador para a página de configuração 802.1x do telefone, manipulando o parâmetro 802.1x+identity com a sequência de bytes que a aplicação interpreta como quebra de linha, seguida do payload que sobrescreve o campo hostname no arquivo de configuração. A execução do comando não é imediata: ela só ocorre no próximo boot/reboot do aparelho, quando o local.cfg é lido e o hostname malicioso é passado ao script de inicialização do udhcpc.

Pré-requisito real: acesso administrativo autenticado à interface de gerenciamento do telefone (AV:A no vetor CVSS sugere adjacência de rede, condizente com a interface web de administração normalmente restrita à rede de voz/gerência). Isso já reduz o risco em ambientes onde a interface de administração dos telefones não está exposta a segmentos não confiáveis ou onde as credenciais padrão foram alteradas. O impacto final, uma vez explorado, é execução de comandos arbitrários no contexto do sistema do telefone — potencialmente usado para persistência, pivotagem na rede de voz ou interceptação de chamadas.

A entrada no catálogo KEV da CISA (adicionada em 2025-02-12, com prazo de correção até 2025-03-05) confirma exploração ativa observada, embora a CISA não detalhe campanhas específicas nem associe a ransomware. A combinação de CVSS moderado (6.8) com presença no KEV é o padrão clássico de falha que parece 'não crítica' pelo score, mas que atacantes usam na prática — provavelmente encadeada com outra vulnerabilidade que forneça as credenciais administrativas necessárias.

O fornecedor recomenda atualizar para a versão de firmware mais recente disponível para os aparelhos afetados; o advisory 24-0019 não especifica o número exato da versão corrigida nas informações publicadas, apenas orienta contatar o suporte Mitel para obter a versão atualizada. Não há, nas fontes disponíveis, uma versão fixa nomeada explicitamente (ex.: 'corrigido em R6.4.1') — trate a ausência dessa informação como lacuna a confirmar diretamente com o fornecedor antes de declarar o parque corrigido.

Como controle compensatório enquanto a atualização não é aplicada: restringir o acesso à interface administrativa web dos telefones apenas a hosts de gerência confiáveis (segmentação de rede/VLAN de voz), desabilitar ou proteger fortemente as credenciais de administração, e monitorar/alertar sobre reinicializações não programadas dos aparelhos. A CISA, no KEV, orienta aplicar as mitigações do fornecedor ou descontinuar o uso do produto caso não haja mitigação disponível — postura que reflete a seriedade da exploração confirmada, mesmo com pré-requisito de autenticação.

Não funciona como mitigação apenas trocar a senha padrão sem também restringir a exposição de rede da interface de gerenciamento: como o ataque documentado usa uma sessão administrativa já autenticada, qualquer cenário onde credenciais administrativas sejam comprometidas por outra via (phishing, reuso de senha, outra CVE) recoloca o dispositivo em risco até o firmware ser efetivamente atualizado.

Nos logs da interface web de administração dos telefones, procurar por requisições POST para o endpoint de configuração 802.1x (8021xsupport.html) contendo, no parâmetro de identidade, sequências de caracteres não usuais como '%dt' repetido ou referências ao campo 'hostname' seguido de comandos/argumentos de linha de comando (ex.: opções típicas do udhcpc combinadas com pipe para shell). No próprio dispositivo, alterações inesperadas no arquivo /nvdata/etc/local.cfg — especialmente na entrada de hostname — e reinicializações não programadas seguidas de tráfego DHCP anômalo do processo udhcpc são sinais de possível exploração pós-injeção.

Como a execução do comando só ocorre no boot seguinte à injeção, não há sinal de tráfego de rede único e imediato que indique compromisso — é necessário correlacionar a requisição administrativa suspeita com o comportamento do aparelho após o próximo reboot. Ambientes sem log central da interface de administração dos telefones dificilmente terão visibilidade retroativa confiável desse ataque.