Les chercheurs en cybersécurité ont révélé les détails de deux failles de sécurité moyenne dans les téléphones de bureau Mitel 6800/6900 qui, si elles sont exploitées avec succès, pourraient permettre à un attaquant d’obtenir des privilèges root sur les appareils. Suivis comme CVE-2022-29854 et CVE-2022-29855 (score CVSS : 6,8), les problèmes de contrôle d’accès ont été découverts par la société allemande de tests d’intrusion SySS, à la suite de quoi des correctifs ont été expédiés en mai 2022. « En raison de cette porte dérobée non documentée, un attaquant ayant un accès physique à un téléphone de bureau vulnérable peut obtenir un accès root en appuyant sur des touches spécifiques au démarrage du système, puis se connecter à un service Telnet fourni en tant qu’utilisateur root », a déclaré le chercheur SySS Matthias Deeg dans un communiqué. partagé avec breachtrace. Plus précisément, le problème concerne une fonctionnalité auparavant inconnue présente dans un script shell (« check_mft.sh ») dans le micrologiciel des téléphones qui est conçu pour être exécuté au démarrage du système. « Le script shell ‘check_mft.sh’, qui se trouve dans le répertoire ‘/etc’ du téléphone, vérifie si les touches « * » et « # » sont enfoncées simultanément lors du démarrage du système », ont déclaré les chercheurs. « Le téléphone définit alors son adresse IP sur ‘10.30.102[.]102’ et démarre un serveur Telnet. Une connexion Telnet peut alors être effectuée avec un mot de passe root statique. » L’exploitation réussie des failles pourrait permettre l’accès à des informations sensibles et l’exécution de code. Les vulnérabilités affectent les téléphones SIP des séries 6800 et 6900, à l’exception du modèle 6970. Il est recommandé aux utilisateurs des modèles concernés de mettre à jour vers la dernière version du micrologiciel afin d’atténuer tout risque potentiel découlant de l’exploitation de l’attaque par élévation de privilèges. Ce n’est pas la première fois que de telles fonctionnalités de porte dérobée sont découvertes dans des micrologiciels liés aux télécommunications. En décembre 2021, RedTeam Pentesting a révélé deux bogues de ce type dans les appliances VoIP d’Auerswald qui pourraient être abusés pour obtenir un accès administratif complet aux appareils.