CVE-2022-26143

Falha de controle de acesso no driver tp240dvr (interface para as placas VoIP TP-240) usado pelo Mitel MiCollab e MiVoice Business Express, que expõe uma funcionalidade de teste de sistema sem autenticação na porta UDP/10074. Quando esse serviço fica acessível pela Internet — o que ocorreu em cerca de 2.600 sistemas mal configurados — ele pode ser abusado como refletor/amplificador de DDoS com um fator teórico de amplificação de até 4.294.967.296:1, um dos maiores já documentados. A CVE foi ativamente explorada em fevereiro e março de 2022 no ataque batizado de TP240PhoneHome, contra ISPs, instituições financeiras, empresas de logística e gaming.

O tp240dvr ('TP-240 driver') é um serviço de bridge que permite que software rodando no MiCollab/MiVoice Business Express se comunique com as placas PCI TDM/VoIP TP-240. Ele escuta comandos UDP na porta 10074 e inclui uma função de stress-test destinada a diagnóstico interno de rede, pensada para uso apenas em ambientes controlados — nunca exposta à Internet, segundo o próprio fabricante. A falha é de controle de acesso (CWE-306, ausência de autenticação para função crítica) combinada com falta de limitação de volume de resposta (CWE-406): o serviço não valida quem está enviando o comando de teste nem limita quantas respostas gera por comando recebido.

A engenharia do abuso é peculiar em relação à maioria dos vetores de amplificação UDP. Pesquisadores (equipe conjunta Akamai, Cloudflare, Lumen Black Lotus Labs, NETSCOUT ASERT, TELUS, Team Cymru e Shadowserver) constataram, ao analisar o binário do tp240dvr, que um único comando malicioso pode fazer o serviço emitir até 2.147.483.647 respostas, cada uma gerando dois pacotes na rede — um total teórico de ~4,29 bilhões de pacotes amplificados a partir de um único pacote de entrada. O primeiro pacote de cada resposta contém um contador que cresce de 36 a 45 bytes; o segundo carrega saída de diagnóstico cujo conteúdo o atacante consegue influenciar, podendo ser inflado até 1.184 bytes por pacote.

Em testes controlados de laboratório, um nó abusável sustentou mais de 400 Mpps de tráfego de ataque a partir de um único pacote inicial de apenas 1.119 bytes, com potencial de manter o fluxo por até 14 horas a uma taxa de 80 kpps — isso resultaria em cerca de 95,5 GB de pacotes de 'contador' mais 2,5 TB de pacotes de 'saída de diagnóstico' direcionados à vítima, a partir de um reflector isolado. O ataque real observado na Internet foi bem mais modesto (pico de ~53 Mpps / 23 Gbps, duração de ~5 minutos), sugerindo que os operadores ainda estavam calibrando a técnica quando descoberta.

O pré-requisito real da exploração é a exposição indevida do serviço tp240dvr à Internet pública na porta UDP/10074 — algo que o fabricante já orientava a manter restrito a redes internas. Não é necessária autenticação nem interação do usuário; o atacante só precisa enviar um comando UDP especialmente formatado ao sistema Mitel exposto, tipicamente com endereço de origem falsificado (IP spoofing) apontando para a vítima real. Isso caracteriza um clássico ataque de reflexão/amplificação: o atacante controla o conteúdo do comando inicial (incluindo o campo de diagnóstico que infla o tamanho dos pacotes de resposta) e o endereço de destino falsificado, mas não precisa manter conexão contínua — um único pacote basta para acionar até 14 horas de tráfego de saída do sistema comprometido.

Ataques reais foram observados a partir de meados de fevereiro de 2022, direcionados às portas de destino UDP/80 e UDP/443 das vítimas, com origem aparente em UDP/10074 dos ~2.600 sistemas Mitel mal provisionados identificados pelos pesquisadores. A natureza de disparo único (single-packet) dificulta o rastreamento da origem do ataque, já que o tráfego observado pelo operador de rede vem do sistema Mitel abusado, não do atacante original — a infraestrutura do atacante fica efetivamente mascarada após o envio do pacote inicial.

A exploração está confirmada no catálogo KEV da CISA (adicionada em 25/03/2022) e documentada por múltiplos vendors de segurança de rede que observaram o tráfego de ataque em produção. Não há indicação de que a falha permita execução de código ou acesso a dados sensíveis dos usuários do PBX — o impacto prático demonstrado é DDoS/degradação de performance e uso indevido do sistema como amplificador contra terceiros.

A correção do fabricante consiste em atualizar para MiCollab 9.4 SP1 FP1 ou posterior; para MiVoice Business Express, o advisory da Mitel cobre versões até e incluindo R8.1, com o patch aplicado via atualização de software que desabilita o acesso público à funcionalidade de teste de sistema — a Mitel não publicou uma versão numerada específica de correção para o MiVoice Business Express nas fontes disponíveis, então confirme com o suporte do fabricante qual build resolve o CVE para essa linha.

O controle compensatório mais direto, e o que efetivamente interrompeu a onda de ataques em 2022, é bloquear/filtrar a exposição da porta UDP/10074 à Internet pública — via firewall de perímetro ou ACL — deixando o serviço tp240dvr acessível apenas em rede interna, conforme a orientação original do fabricante. Isso neutraliza o vetor sem exigir patch imediato, mas não corrige a causa raiz (ausência de autenticação no driver) caso a rede interna também seja considerada hostil.

A Mitel classifica o risco como crítico especificamente para implantações de MiCollab em modo Server-Gateway sem proteção de firewall, e como alto para implantações já em redes internas protegidas — ou seja, a severidade real depende diretamente da topologia de rede do cliente, não apenas da versão instalada. Filtragem de egress/anti-spoofing (BCP38) em provedores upstream também reduz o potencial de abuso desses sistemas como refletores contra terceiros, embora não proteja o próprio sistema Mitel exposto.

O sinal mais confiável é tráfego de saída anômalo e volumoso originado da porta UDP/10074 do sistema Mitel, direcionado a IPs externos variados — isso indica que o sistema está sendo abusado como reflector/amplificador. No lado da rede da vítima de um ataque, o tráfego de entrada característico vem de UDP/10074 com destino às portas UDP/80 e UDP/443, em pacotes curtos (na faixa de 36 a 45 bytes para os pacotes de 'contador') misturados a pacotes maiores de até ~1.184 bytes ('diagnóstico'). Não há um IOC de payload fixo publicado para detectar a tentativa de exploração em si — como o ataque é disparado por um único pacote spoofado, sinais de rede tradicionais de flood repetitivo do atacante não se aplicam; o indicador prático é a presença de sistemas MiCollab/MiVoice Business Express acessíveis externamente na porta UDP/10074, que deve ser tratada como exposição inaceitável independentemente de evidência de exploração ativa.