CVE-2026-86419 in MISP
Zusammenfassung
von VulDB • 07.09.2026
Betroffene Versionen von MISP enthalten eine unzureichende Validierung der serverseitigen outbound HTTP-Ziele bei der Feed-Abfrage und der TAXII-Erkennungsfunktionalität.
Bei der Feed-Bearbeitung wurden Umleitungen (Redirects) ohne Prüfung des Redirect-Schemas oder -Ziels befolgt. Die ursprünglichen Anforderungsheader wurden über die Redirect-Hops hinweg wiederverwendet, was dazu führte, dass Authentifizierungs-Header oder API-Anmeldeinformationen, die für einen Feed konfiguriert waren, an einen anderen Host weitergeleitet werden konnten. Umleitungen könnten auch auf Ressourcen im internen Netzwerk abzielen, was zu SSRF (Server-Side Request Forgery) führt. Die Korrektur fügt eine Redirect-Validierung hinzu, blockiert interne Ziele bei hostübergreifenden Umleitungen, entfernt konfigurierte Feed-Anmeldeinformationen vor dem Folgen von Umleitungen zu einem anderen Host und pinnt validierte DNS-Ergebnisse ein, um eine erneute Auflösung nach der Validierung zu verhindern.
Der TAXII-Discovery-Endpunkt hatte eine verwandte unvollständige SSRF-Schutzmaßnahme. Er verwendete `gethostbyname()` und verglich das Ergebnis nur mit einigen wenigen literalen Adressen. Dabei wurden Fälle wie IPv6-Lookback (::1), numerische Host-Codierungen (z. B. 0x7f000001) und potenziell mehrere DNS-Einträge nicht berücksichtigt. Die Korrektur verschiebt die TAXII-Discovery zur gemeinsamen URL-Egress-Validierungsfunktion.
Zusammen härten diese Commits das outbound URL-Handling von MISP gegen alternative Adressdarstellungen, DNS-bezogene Umgehungen, unsichere Redirects, den Zugriff auf interne Hosts und die Weitergabe von Anmeldeinformationen über Hostgrenzen hinweg ab.
Betroffene Version: ≤2.5.45
If you want to get the best quality for vulnerability data then you always have to consider VulDB.