Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en OpenScape Endpoint Management de Mitel

Resumen de la alerta

Mitel ha comunicado vulnerabilidades que afectan a OpenScape Endpoint Management. El aviso incluye dos vulnerabilidades de severidad alta relacionadas con Node-RED, identificadas como MTLVULN-1788 y MTLVULN-1789, así como una vulnerabilidad crítica en el decodificador Brotli: CVE-2026-111497.

La vulnerabilidad de Brotli presenta una puntuación CVSS v4.0 de 9,2. Según la información publicada, un atacante remoto sin autenticación podría aprovechar datos comprimidos manipulados para provocar una denegación de servicio, acceder a información o ejecutar código. INCIBE-CERT indica explotación: Sí para CVE-2026-111497, aunque la información disponible no detalla ataques concretos, indicadores de compromiso ni campañas activas.

Mitel considera bajo el riesgo específico para OpenScape Endpoint Management cuando el producto se despliega conforme a sus recomendaciones. No obstante, las organizaciones afectadas deben priorizar la revisión de versiones y la aplicación de las actualizaciones disponibles.

Recursos afectados

• OpenScape Endpoint Management V1 R2.5.1 y versiones anteriores, afectadas por CVE-2026-111497.
• OpenScape Endpoint Management V1 R2.4.0 y versiones anteriores, afectadas por MTLVULN-1788 y MTLVULN-1789.

Mitel continúa evaluando la posible afectación de otros productos por el problema de Brotli. Por el momento, esta afectación adicional no está confirmada.

Descripción de las vulnerabilidades

Las vulnerabilidades MTLVULN-1788 y MTLVULN-1789 afectan al componente Node-RED de OpenScape Endpoint Management y han sido calificadas como de severidad alta. La información disponible no aporta detalles técnicos adicionales sobre su naturaleza o impacto específico.

Por otra parte, CVE-2026-111497 corresponde a un problema de escritura fuera de límites en el decodificador Brotli. Este tipo de fallo se produce cuando un componente escribe datos fuera del espacio de memoria asignado. En este caso, el procesamiento de datos comprimidos especialmente manipulados podría corromper la memoria del sistema.

Brotli es un algoritmo de compresión. La vulnerabilidad afecta al proceso de descompresión de contenido manipulado y no requiere autenticación previa por parte de un posible atacante remoto, según la información publicada.

Impacto y nivel de riesgo

La explotación con éxito de CVE-2026-111497 podría permitir a un atacante remoto no autenticado provocar una denegación de servicio, revelar información o ejecutar código. La ejecución de código implica la posibilidad de que código no autorizado se ejecute en el sistema vulnerable, aunque la información disponible no especifica el alcance concreto que podría tener en cada despliegue.

La severidad crítica y la puntuación CVSS v4.0: 9,2 justifican una atención prioritaria. Además, INCIBE-CERT señala que existe explotación para esta vulnerabilidad. Sin embargo, el aviso no proporciona información sobre ataques activos contra OpenScape Endpoint Management ni confirma que organizaciones concretas hayan sido comprometidas mediante este producto.

Para las vulnerabilidades de Node-RED identificadas como MTLVULN-1788 y MTLVULN-1789, la fuente las clasifica como altas, pero no detalla las consecuencias de una explotación ni las condiciones necesarias para llevarla a cabo.

Solución y medidas recomendadas

Para resolver las vulnerabilidades MTLVULN-1788 y MTLVULN-1789, Mitel recomienda actualizar a OpenScape Endpoint Management V1 R2.5.1 o posterior, conforme al aviso MISA-2026-0009.

La versión V1 R2.5.1 continúa afectada por CVE-2026-111497. Mitel ha indicado que el parche para esta vulnerabilidad está planificado. Mientras se publica, la recomendación oficial es consultar KB000129034 a través de un socio autorizado y seguir las indicaciones del aviso MISA-2026-0010.

Mitel ya ha publicado las actualizaciones correspondientes para Unify Phone y CloudLink.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de OpenScape Endpoint Management implantadas en la organización y comprobar la versión instalada.
2. Actualizar los sistemas afectados por MTLVULN-1788 y MTLVULN-1789 a OpenScape Endpoint Management V1 R2.5.1 o posterior, siguiendo MISA-2026-0009.
3. Considerar prioritaria la revisión de los sistemas en V1 R2.5.1 o anteriores debido a la afectación por CVE-2026-111497 y a su severidad crítica.
4. Solicitar y aplicar las indicaciones disponibles en KB000129034 mediante el socio autorizado de Mitel mientras se espera el parche previsto para CVE-2026-111497.
5. Mantener seguimiento de las comunicaciones de Mitel sobre la disponibilidad de la actualización para Brotli y sobre una posible afectación de otros productos.