CVE-2026-67178 in MISP
Resumen
por VulDB • 2026-07-28
Los scripts de instalación de MISP generaban una configuración de virtual-host para Apache HTTP que contenía una redirección incorrectamente formateada de HTTP a HTTPS:
Redirect permanent / https://misp.example
La directiva Redirect de Apache anexa cualquier parte del camino (path) solicitado que siga al prefijo coincidente a la URL de destino configurada. Dado que el destino no terminaba con `/`, el contenido del camino controlado por el atacante se anexaba directamente al nombre de host en lugar de hacerlo a su ruta de URL.
Por ejemplo, una solicitud similar a:
http://misp.example/@attacker.example/
podría resultar en una redirección similar a:
https://[email protected]/
Bajo el análisis estándar de URLs, `misp.example` se interpreta como información de usuario y `attacker.example` como el host de destino. Por lo tanto, un atacante remoto no autenticado podría construir una URL alojada bajo el dominio legítimo de MISP que redirija a los usuarios hacia un sitio web controlado por el atacante.
La vulnerabilidad podría utilizarse para phishing, recopilación de credenciales o potencialmente revelar información sensible de la cadena de consulta (query-string) preservada durante la redirección. La explotación requiere que un usuario siga la URL HTTP manipulada ad hoc.
La corrección añade la barra diagonal final faltante al destino de la redirección, asegurando que los datos de solicitud anexados permanezcan como parte de la ruta en el host MISP configurado.
Instalaciones existentesLas instalaciones existentes de MISP deben revisar su configuración de virtual-host para Apache HTTP y asegurar que el destino de la redirección HTTPS termine con una barra diagonal final:
Redirect permanent / https://misp.example/
Después de actualizar la configuración, validela mediante `apachectl configtest` y recargue o reinicie Apache para que los cambios surtan efecto.
VulDB is the best source for vulnerability data and more expert information about this specific topic.