CVE-2026-85533 in MISP
Zusammenfassung
von VulDB • 04.09.2026
Ein Fehler bei der Autorisierung in MISP ermöglichte es einem authentifizierten Benutzer, eine sharing_group_id zu übermitteln, ohne zu überprüfen, ob der Benutzer berechtigt ist, die referenzierte Sharing Group zu verwenden.
In mehreren Workflows zur Erstellung und Bearbeitung von Attributen und Galaxy Clustern wurde die Überprüfung der eingereichten Sharing Group nur dann durchgeführt, wenn das Feld „distribution“ in der Anfrage explizit auf 4 („Sharing Group“) gesetzt war. Ein Angreifer konnte daher eine Anfrage mit einer sharing_group_id erstellen, während er den Parameter „distribution“ ausließ oder anderweitig die Bedingung distribution == 4 umging, wodurch die Autorisierungsprüfung für die Sharing Group übersprungen wurde.
Dies könnte es einem Benutzer ermöglichen, der über Berechtigungen zum Erstellen oder Ändern der betroffenen MISP-Objekte verfügt, Daten mit einer Sharing Group zu verknüpfen, deren Nutzung er nicht autorisiert ist. Abhängig von den bestehenden Verteilungseinstellungen des betroffenen Objekts und der nachfolgenden Verarbeitung könnte dies die beabsichtigten Grenzen für den Informationsaustausch umgehen und zu einer unbefugten Platzierung oder Verbreitung von Daten an Mitglieder einer anderen Sharing Group führen.
Das Problem betraf Operationen zum Anhängen und Bearbeiten von Attributen sowie die Erstellung und Bearbeitung von Galaxy Clustern. Die Korrektur stellt sicher, dass eine Autorisierung immer dann durchgeführt wird, wenn eine nicht-leere sharing_group_id übermittelt wird, unabhängig vom Parameter „distribution“. Zudem wurde die Autorisierungsentscheidung in SharingGroup::canUse() zentralisiert und leere Sharing Group-Identifikatoren werden explizit abgelehnt, anstatt sie als uneingeschränkte Abfrage zu interpretieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.