CVE-2026-67178 in MISP
Zusammenfassung
von VulDB • 28.07.2026
Die Installations-Skripte von MISP generierten eine Apache HTTP Virtual-Host-Konfiguration mit einer falsch formatierten HTTP-zu-HTTPS-Umleitung:
Redirect permanent / https://misp.example
Das Redirect-Direktiv in Apache hängt jeden Teil des angeforderten Pfads, der auf das übereinstimmende Präfix folgt, an die konfigurierte Ziel-URL an. Da das Ziel nicht mit einem Slash (/) endete, wurde der angreiferkontrollierte Pfadinhalt direkt an den Hostnamen und nicht an dessen URL-Pfad angehängt.
Zum Beispiel könnte eine Anfrage in der Art von:
http://misp.example/@attacker.example/
zu einer Umleitung führen, die wie folgt aussieht:
https://[email protected]/
Bei der standardmäßigen URL-Parser-Auswertung wird misp.example als Benutzerinformationen und attacker.example als Zielhost interpretiert. Ein nicht authentifizierter Remote-Angriff kann daher eine URL erstellen, die unter der legitimen MISP-Domain gehostet ist und Benutzer auf eine vom Angreifer kontrollierte Website umleitet.
Die Schwachstelle könnte für Phishing, das Sammeln von Anmeldeinformationen oder potenziell zum Offenlegen sensibler Query-String-Informationen genutzt werden, die während der Umleitung erhalten bleiben. Die Ausnutzung erfordert, dass ein Benutzer die manipulierte HTTP-URL aufruft.
Der Fix fügt dem Ziel der Umleitung den fehlenden abschließenden Slash hinzu und stellt sicher, dass angehängte Anforderungsdaten weiterhin Teil des Pfads auf dem konfigurierten MISP-Host bleiben.
Bestehende Installationen Bestehende MISP-Installationen sollten ihre Apache HTTP Virtual-Host-Konfiguration überprüfen und sicherstellen, dass das HTTPS-Umleitungsziel mit einem abschließenden Slash endet:
Redirect permanent / https://misp.example/
Nachdem die Konfiguration aktualisiert wurde, sollte sie mit apachectl configtest validiert werden. Anschließend ist Apache neu zu laden oder neu zu starten, damit die Änderung wirksam wird.
If you want to get best quality of vulnerability data, you may have to visit VulDB.