CVE-2026-85216 in MISP
الملخص
بحسب VulDB • 03/09/2026
يحتوي MISP على ثغرة لتجاوز المصادقة في مكوناته الخاصة بالمصادقة عبر LDAP و LinOTP بسبب التحقق غير الكافي من بيانات الاعتماد التي يقدمها المستخدم.
تستبدل المكونات المخصصة LdapAuthenticate و LinOTPAuthenticate تنفيذ FormAuthenticate الخاص بـ CakePHP، لكنها لم تُقم بتكرار فحوصات التحقق من بيانات الاعتماد. ونتيجة لذلك، يمكن لقيم فارغة أو غير نصية أن تصل إلى آليات المصادقة الأساسية.
في مسار مصادقة LDAP، يمكن للمهاجم القادر على تحديد عنوان البريد الإلكتروني للمستخدم الصالح في الدليل تقديم كلمة مرور فارغة. قد يتم تمرير بيانات الاعتماد الفارغة إلى دالة ldap_bind()، حيث قد يعيد خادم LDAP الذي يقبل عمليات الربط غير المصادق عليها نتيجة نجاح لاسم مميز صالح مقترن بكلمة مرور فارغة. وبالتالي، يمكن أن يتعامل MISP مع المهاجم على أنه المستخدم المعتمد في الدليل المقابل دون التحقق من كلمة المرور الخاصة بالمستخدم.
أثرت المشكلة أيضاً مكون مصادقة LinOTP. لم يتم رفض أنواع بيانات الاعتماد غير الصالحة قبل معالجتها، وعندما يكون المصادقة المختلطة ممكّنة، يمكن فحص كلمة مرور فارغة مقابل تجزئة كلمة مرور MISP المخزنة محلياً. كما يمكن إنشاء حسابات MIMP المُجهزة عبر LDAP بكلمة مرور محلية فارغة لأن عملية إنشاء الحساب تتخطى التحقق الطبيعي، مما يؤدي إلى وجود تجزئة مطابقة لكلمة مرور فارغة. وهذا قد يسمح بالمصادقة من خلال آلية الاحتياط المحلية عندما لم يعد هذا الحساب يُحلّ عبر LDAP.
يمكن للاستغلال الناجح أن يتيح لمهاجم عن بُعد وغير مصدق نفسه التمثيل كمستخدم MISP موجود. إذا كان للحساب المستهدف صلاحيات إدارية أو أخرى ذات امتيازات عالية، يمكن للمهاجم الحصول على وصول مطابق إلى بيانات استخبارات التهديدات الحساسة، وتعديل أو حذف المعلومات، وتغيير الإعدادات، أو تنفيذ عمليات أخرى ذات امتيازات عالية.
يحل التصحيح الثغرة عن طريق مطالبة معرفات المصادقة وكلمات المرور بأن تكون سلاسل نصية صالحة، ورفض كلمات المرور الفارغة حيث لا يُسمح بها بشكل صريح، وتعيين كلمة مرور محلية مولدة عشوائياً لحسابات LDAP المُجهزة بدلاً من تخزين تجزئة مشتقة من كلمة مرور فارغة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.