CVE-2025-47187: Kritische RCE Lücke in Mitel SIP Telefonen

Am 12. Mai 2025 hat InfoGuard Labs zwei kritische Sicherheitslücken in Mitel VoIP-Telefonen der Serien 6800, 6900 und 6900w – inklusive der 6970 Conference Unit – mit Firmwareversion R6.4.0.SP4 und älter entdeckt. Unter der Kennung CVE-2025-47188 erlaubt ein bislang unbemerkter unauthentifizierter Kommando-Injection-Fehler im CGI-Dienst auf Port 49249 Angreifern, beliebigen Shell-Code mit root-Rechten auszuführen. Parallel dazu ermöglicht CVE-2025-47187 das Hochladen von manipulierten .wav-Dateien ohne Authentisierung. In der MISA-2025-0004-Advisory hat Mitel bereits Gegenmaßnahmen und Updates angekündigt. Dank schneller Zusammenarbeit mit dem Mitel PSIRT konnten Details Ende Juni veröffentlicht werden; Anwender sollten ihre Telefone umgehend auf die neuesten Firmware-Releases aktualisieren, um unbefugten Zugriff zu unterbinden.

Tags :

Related Posts

Datenleck bei App Baukasten Passion.io - 12 Terrabyte an Daten lagen offen im Netz

Ein gravierender Datenschutzvorfall hat die App-Baukasten-Plattform Passion.io erschüttert: Über 3,6 Millionen unverschlüsselte Datensätze mit teils sensiblen personenbezogenen Informationen (PII) waren öffentlich im Netz abrufbar, so berichtet VPNMentor.

Read More

Journalisten im Visier: Graphite-Spyware nutzt Zero Click iMessage Schwachstelle

Erstmals konnte das Überwachungs-Tool Graphite des israelischen Herstellers Paragon Solutions forensisch auf iPhones nachgewiesen werden. Zwei Journalisten – darunter der Italiener Ciro Pellegrino und ein anonymer europäischer Kollege – wurden Ziel einer raffinierten Zero-Click-Attacke über iMessage. Die Angriffe erfolgten im Januar und Februar 2025 und wurden durch Apple-Sicherheitswarnungen am 29. April 2025 publik.

Read More

Kritische Sicherheitslücke im Dell NAS System PowerScale

Dell hat am 4. Juni 2025 die Sicherheitsempfehlung DSA-2025-208 für PowerScale OneFS veröffentlicht, mit der mehrere teils kritische Schwachstellen gestopft werden. Besonders gravierend ist eine fehlende Authorisierung in der NFS-Exportfunktion (CVE-2024-53298, CVSS 9.8), über die sich ein Angreifer unbemerkt Zugriff auf beliebige Dateien verschaffen und das System komplett kompromittieren kann. Darüber hinaus wurden eine SQL-Injection in OneFS (CVE-2025-32753, CVSS 5.3) sowie weitere Lücken in FreeBSD-Komponenten (CVE-2024-53580) und im SupportAssist (CVE-2024-39689, CVE-2024-51538) behoben.

Read More