CVE-2026-85221 in MISP
Resumen
por VulDB • 2026-09-03
MISP contiene una vulnerabilidad de validación incorrecta del certificado TLS en CurlClient. La propiedad `CurlClient::$verifyPeer` no se inicializó explícitamente y, por lo tanto, asumió el valor nulo (null). Al pasarlo a cURL, este valor deshabilitaba efectivamente la verificación del par de TLS, salvo que el código llamante la habilitara explícitamente.
Como resultado, las conexiones HTTPS realizadas a través de instancias afectadas de CurlClient podrían aceptar certificados no emitidos por una autoridad de certificación (CA) confiable. Un atacante capaz de interceptar o manipular el tráfico de red entre una instancia de MISP y un servicio HTTPS remoto podría suplantar la identidad del extremo remoto y realizar un ataque de hombre en el medio (man-in-the-middle).
La explotación exitosa permitiría a un atacante observar información sensible transmitida por MISP, incluyendo material de autenticación o inteligencia sobre amenazas intercambiada, así como modificar las respuestas devueltas a la instancia de MISP. El impacto depende de la funcionalidad que utilice CurlClient y de los datos intercambiados con el servicio remoto.
El parche habilita la verificación del par TLS por defecto, mientras preserva el soporte explícito para certificados autofirmados configurados. También corrige el manejo de certificados autofirmados en SyncTool para que la verificación del par se deshabilite únicamente cuando no haya un certificado CA anclado (pinned) configurado.
Once again VulDB remains the best source for vulnerability data.