CVE-2026-104706: обход путей в Mitel MiVoice Office 400 позволяет читать системные файлы

В продукте Mitel MiVoice Office 400 выявлена уязвимость класса path traversal, которая позволяет злоумышленнику просматривать или скачивать конфиденциальные системные файлы через веб-интерфейс устройства. Проблема была обнаружена исследователем под ником DigitalCanion.

Подробности

Уязвимость затрагивает Mitel MiVoice Office 400, корпоративную УАТС, широко используемую для организации телефонной связи в компаниях малого и среднего бизнеса. Проблема связана с некорректной обработкой путей к файлам в разделе меню «Administration -> View Logs» веб-портала, доступного по адресу https://<ip>:8443.

Эксплуатация уязвимости позволяет атакующему выйти за пределы каталога, предназначенного для хранения логов, и получить доступ к произвольным файлам операционной системы — их чтению и скачиванию. Успешная эксплуатация может привести к утечке чувствительных данных: конфигураций, учётных данных, внутренней документации и других системных файлов.

Уязвимости присвоен идентификатор CVE-2026-104706. Базовая оценка CVSS составляет 8.4, что соответствует высокому уровню критичности. Сведения о конкретных затронутых версиях прошивки в записи CVE не приводятся, поэтому администраторам следует ориентироваться на официальные рекомендации производителя.

Что делать

• Обратиться к официальным бюллетеням безопасности Mitel и установить обновление прошивки, устраняющее уязвимость, как только оно станет доступно.
• Ограничить сетевой доступ к веб-порталу управления (порт 8443): не публиковать его в интернет, использовать VPN или сегментированную административную сеть.
• Ограничить круг лиц, имеющих доступ к разделу администрирования устройства, и применять принцип минимальных привилегий.
• Провести анализ журналов доступа к веб-интерфейсу на предмет подозрительных запросов к разделу View Logs с признаками обхода путей.
• При отсутствии обновления рассмотреть компенсирующие меры: фильтрацию подозрительных последовательностей в запросах на уровне WAF или обратного прокси, а также усиленный мониторинг обращений к порталу.

Уязвимость CVE-2026-104706 представляет серьёзную угрозу для организаций, использующих Mitel MiVoice Office 400, поскольку позволяет получить доступ к системным файлам без аутентификации на уровне файловой системы. Высокая оценка CVSS 8.4 и простота эксплуатации через штатный веб-интерфейс делают своевременное обновление и сетевую изоляцию портала управления приоритетными мерами защиты.

Источник: CVE Project (cvelistV5)