Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en MiVoice MX-ONE de Mitel

Resumen de la alerta

Mitel ha comunicado tres vulnerabilidades en MiVoice MX-ONE, una de ellas de severidad crítica. Los problemas afectan a los componentes Provisioning Manager y Service Node Manager de determinadas versiones de esta plataforma de telefonía.

Según la información publicada, un atacante con acceso a la red local podría obtener información de configuración, conseguir acceso administrativo o ejecutar comandos, en función de la vulnerabilidad explotada. La situación requiere priorización, especialmente en los entornos donde los servicios de gestión de MiVoice MX-ONE sean accesibles desde redes locales con usuarios o equipos no plenamente confiables.

Recursos afectados

El aviso afecta a MiVoice MX-ONE desde la versión 8.0 (8.0.0.33) hasta la versión 8.2 SP1 (8.2.1.0.14), en los siguientes componentes:

• Provisioning Manager.
• Service Node Manager.

Descripción de las vulnerabilidades

Mitel ha publicado tres vulnerabilidades clasificadas con severidad crítica, alta y media. La información disponible detalla específicamente el identificador interno MTLVULN-1860, pendiente de asignación de CVE.

Este fallo afecta a los controles de autenticación de Service Node Manager. Un atacante sin autenticar que tenga acceso a la red local podría obtener privilegios administrativos sobre el componente de gestión.

El acceso administrativo permitiría consultar o modificar el enrutamiento y la configuración de la central telefónica. Además, Mitel indica que este acceso podría combinarse con un fallo de inyección de comandos para ejecutar comandos con los permisos de la cuenta utilizada por el servicio de gestión.

Una debilidad en los controles de autenticación implica que un sistema podría conceder acceso sin validar adecuadamente la identidad del usuario o equipo que solicita acceso. En este caso, la condición indicada por el fabricante es disponer de acceso a la red local; no se describe una explotación remota desde Internet ni se aportan otros requisitos técnicos.

Impacto y nivel de riesgo

La vulnerabilidad MTLVULN-1860 tiene una severidad crítica. Si fuera explotada con éxito, podría proporcionar acceso administrativo a funciones relacionadas con la configuración y el enrutamiento de la central telefónica.

La combinación descrita por Mitel con una vulnerabilidad de inyección de comandos podría ampliar el impacto hasta la ejecución de comandos con los permisos de la cuenta del servicio de gestión. La inyección de comandos es un tipo de fallo que puede permitir que instrucciones no previstas sean procesadas por un sistema vulnerable.

El riesgo potencial depende de que el atacante pueda acceder a la red local desde la que estén disponibles los componentes afectados. La información proporcionada no incluye detalles sobre explotación activa o ataques confirmados contra estas vulnerabilidades.

Solución y medidas recomendadas

La recomendación oficial es actualizar a MiVoice MX-ONE 8.2 y aplicar la corrección correspondiente para Provisioning Manager y Service Node Manager según la versión instalada:

• 8.2 SP0: aplicar HF5 o una versión posterior.
• 8.2 SP1: aplicar HF2 o una versión posterior.

Mitel señala que la versión 8.3 incorporará las correcciones. Para ampliar la información técnica y confirmar el procedimiento aplicable, el fabricante remite a la nota KB000129185 y al aviso de seguridad MISA-2026-0011.

Recomendaciones para organizaciones afectadas

1. Identificar las instalaciones de MiVoice MX-ONE que se encuentren entre las versiones 8.0 (8.0.0.33) y 8.2 SP1 (8.2.1.0.14), incluyendo sus componentes Provisioning Manager y Service Node Manager.
2. Priorizar la aplicación de las correcciones indicadas por Mitel, especialmente en sistemas donde Service Node Manager sea accesible desde segmentos amplios de la red local.
3. Revisar que el acceso de red a los componentes de gestión esté limitado a los equipos, usuarios y segmentos que necesiten utilizarlo. Esta medida no sustituye la actualización oficial.
4. Valorar los posibles efectos operativos antes de aplicar las correcciones y seguir el procedimiento técnico proporcionado por Mitel para la versión instalada.